CONTRAT DE TRAITEMENT DES DONNÉES

Le présent accord sur le traitement des données (« DPA ») est conclu entre Patsnap (UK) Ltd, agissant en son nom propre et au nom de ses filiales, une entité constituée au Royaume-Uni dont les bureaux sont situés au Building 3 Chiswick Business Park, 566 Chiswick High Road, Londres, Angleterre, W4 5YA (« Patsnap »), et l'entité soussignée (« Client »). Le présent AEP entre en vigueur à la date à laquelle l'accord applicable a été dûment signé par les deux parties. En signant le présent AEP, le Client conclut cet accord en son nom propre et, dans la mesure requise par la loi sur la protection des données, au nom de ses filiales. Les termes en majuscules non définis dans le présent document ont la signification qui leur est donnée à la section 1.

COMMENT CETTE DPA S'APPLIQUE-T-ELLE ?

Le présent ATD n'est valide et juridiquement contraignant que si le Client est : (a) partie à un Contrat en vertu duquel Patsnap est un Sous-traitant ou un Responsable du traitement des Données à caractère personnel aux fins du RGPD et/ou un Prestataire de services aux fins du CCPA ; et (b) un Responsable du traitement des données auquel s'applique l'article 3 du RGPD, ou une Entreprise aux fins du CCPA. Le présent ATD fait partie intégrante dudit Contrat. Si plusieurs accords existent entre les parties, un exemplaire distinct du présent ATD s'applique à chaque accord.

1. DÉFINITIONS

Le terme « Contrat »désigne tout contrat conclu entre Patsnap et le Client ou entre le Client et un partenaire agréé par Patsnap, en vertu duquel les Produits sont fournis par Patsnap et/ou un partenaire agréé par Patsnap dans la mesure où Patsnap traite des Données à caractère personnel dans le cadre dudit contrat conclu entre le Client et ledit partenaire agréé par Patsnap.

« CCPA »désigne la loi californienne sur la protection de la vie privée des consommateurs de 2018.

Les termes«responsable du traitement», «personne concernée », «données à caractère personnel »,«traitement », «sous-traitant »et« autorité de contrôle »ont la même signification que dans le RGPD. Les termes« entreprise »et «prestataire de services »ont la même signification que dans le CCPA.

Les « Données personnelles du client »désignent les Données personnelles qui sont téléchargées vers un Produit, la Plateforme et/ou soumises ou mises à la disposition de Patsnap par le Client et Traitées par Patsnap et/ou ses Sous-traitants (tels que définis ci-après) dans le but de fournir les Produits au Client, à l'exception des Données personnelles décrites à la section 2.4(b).

Le terme « loi sur la protection des données »désigne le RGPD, le RGPD britannique, le CCPA, la loi sur la protection des données de 2018, toutes les lois et réglementations nationales applicables en matière de protection des données, ainsi que toutes les lois et réglementations de l'Union européenne et/ou de l'Espace économique européen (« EEE ») ou d'ailleurs, dans la mesure où elles s'appliquent au traitement des données à caractère personnel dans le cadre du contrat, telles que modifiées ou remplacées de temps à autre.

« RGPD »désigne le règlement général sur la protection des données (règlement (UE) 2016/679) du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.

« Violation des données personnelles »désigne une violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès accidentel ou illégal aux données personnelles du client traitées par Patsnap dans le cadre du présent ATD.

Le terme « Plateforme »désigne l'application Web (web app) de Patsnap et la base de données de Patsnap, qui est un ensemble organisé de données structurées stockées électroniquement sur un serveur distant et accessibles via notre application Web.Le terme « Produits »désigne les services et produits Patsnap commandés, souscrits ou concédés sous licence par le Client dans le cadre d'un Contrat, y compris les logiciels, l'assistance technique et les services professionnels tels que définis dans le Contrat applicable.

Les « clauses contractuelles types »ou« clauses »désignent les clauses contractuelles types basées sur la décision (UE) 2021/915 de la Commission relative aux clauses contractuelles types ou toute clause modifiant, remplaçant ou supplantant celles-ci par une décision de la Commission européenne ou par une décision prise par tout autre organisme autorisé.

« RGPD britannique »désigne le RGPD tel qu'il a été intégré dans la législation du Royaume-Uni.

« UK IDTA »désigne les clauses types de protection des données publiées par le Bureau du commissaire à l'information du Royaume-Uni en vertu de l'article 119A(1) de la loi britannique de 2018 sur la protection des données.

2. TRAITEMENT DES DONNÉES

2.1 Rôles des parties. Les parties reconnaissent et conviennent qu'en ce qui concerne le traitement des données personnelles du client, le client est le responsable du traitement et Patsnap est le sous-traitant, et que Patsnap engagera des sous-traitants ou des sous-traitants secondaires conformément aux exigences énoncées à la section 4 ci-dessous.

2.2 Les parties reconnaissent et conviennent qu'en ce qui concerne le traitement d'autres catégories de données à caractère personnel, Patsnap peut agir en tant que responsable indépendant du traitement de ces données à caractère personnel.

2.3 Les dispositions de la section 2.5 du présent ATD s'appliquent au traitement des données à caractère personnel par Patsnap en tant que responsable du traitement et sous-traitant des données à caractère personnel des clients. Les dispositions des sections 2.6 à 8 du présent ATD s'appliquent uniquement au traitement des données à caractère personnel des clients par Patsnap en tant que sous-traitant.

2.4 Les parties conviennent de se conformer à la loi sur la protection des données qui leur est applicable dans le cadre de leurs fonctions, laquelle doit être interprétée comme suit :

(a) Chaque partie est responsable du traitement des données à caractère personnel comprenant les coordonnées professionnelles de l'autre partie nécessaires à la gestion de la relation commerciale ;

(b) Le client reconnaît que Patsnap est un responsable du traitement des identifiants de connexion des utilisateurs, qui sont traités afin de fournir un accès sécurisé à la plateforme. En outre, en ce qui concerne les données à caractère personnel déjà compromises ou accessibles via la plateforme (par exemple, les noms associés aux dépôts de brevets), Patsnap a collecté et compilé ces données en tant que responsable du traitement indépendant ; et

(c) Patsnap sera le sous-traitant et le client sera le responsable du traitement de toutes les données personnelles du client.

2.5 Traitement des données à caractère personnel. Chaque partie traitera les données à caractère personnel dans le cadre du présent contrat conformément, à tous égards importants, aux exigences de la législation applicable en matière de protection des données. En ce qui concerne les données à caractère personnel du client, ce dernier est seul responsable de l'exactitude, de la qualité et de la légalité de ces données à caractère personnel, ainsi que des moyens par lesquels il les a acquises et transférées à Patsnap.

2.6 Traitement des données personnelles du client par Patsnap. En tant que sous-traitant du client, Patsnap ne traitera les données personnelles du client qu'aux fins suivantes : (a) traitement conformément au contrat ; (b)Traitement initié par le client ou ses utilisateurs autorisés dans le cadre de leur utilisation des produits ; et (c) Traitement visant à se conformer à d'autres instructions raisonnables et documentées du client (par exemple, par e-mail ou via le portail d'assistance) qui sont conformes aux termes du contrat (individuellement et collectivement, la «finalité »). Patsnap informera immédiatement le client dès qu'il aura pris connaissance du fait que, selon lui, une instruction fournie par le client enfreint la loi applicable en matière de protection des données.

2.7 Détails du traitement. L'objectif, la nature et l'objet du traitement des données personnelles des clients par Patsnap sont décrits dans la section 2.6. La durée du traitement, les types/catégories de données personnelles et les catégories de personnes concernées traitées dans le cadre du présent ATD sont précisés dans l'annexe A (Détails du traitement) du présent ATD.

3. DROITS DES PERSONNES CONCERNÉES

3.1 Dans la mesure où la loi le permet, Patsnap informera rapidement le Client si Patsnap reçoit une demande d'une personne concernée visant à exercer les droits individuels suivants en vertu de la loi sur la protection des données en rapport avec les données personnelles du Client qu'il traite en tant que sous-traitant du Client :

(a) droit d'accès ;

(b) droit de rectification ;

(d) effacement ;

(e) portabilité des données ;

(f) opposition au traitement ; et

(g) droit de ne pas être soumis à une prise de décision individuelle automatisée

(chacune étant une« Demande de la personne concernée »), uniquement dans la mesure où ces droits individuels s'appliquent à une personne concernée en vertu de la loi applicable en matière de protectiondes données. Compte tenu de la nature du Traitement, Patsnap aidera le Client dans la mesure où cette aide est commercialement raisonnable pour permettre au Client de remplir son obligation de répondre à une Demande de la personne concernée. Dans la mesure où le Client, dans son utilisation des Produits, n'est pas en mesure de répondre de manière adéquate à une Demande d'une personne concernée, Patsnap s'efforcera, sur demande écrite du Client, de fournir une assistance commercialement raisonnable au Client pour répondre à cette Demande d'une personne concernée, dans la mesure où Patsnap est légalement autorisé à le faire et où la réponse à cette Demande d'une personne concernée est requise par la loi applicable en matière de protection des données. Dans la mesure où la loi le permet, le Client sera responsable de tous les coûts liés à la fourniture de cette assistance par Patsnap, y compris les coûts ou frais associés à la fourniture de fonctionnalités supplémentaires.

4 SOUS-TRAITANTS

4.1 Recours à des sous-traitants secondaires. Le Client reconnaît et accepte que Patsnap puisse, dans certaines circonstances, faire appel à des sous-traitants tiers pour traiter les Données personnelles du Client afin de fournir ses services, notamment les sociétés affiliées à Patsnap (« Sous-traitants secondaires »). Le client consent à l'utilisation par Patsnap des sous-traitants existants. Patsnap informera le client de la nomination de tout nouveau sous-traitant en lui fournissant des détails sur le traitement à effectuer. Le client disposera d'un délai de 30 jours à compter de la réception de cette notification pour informer Patsnap par écrit de toute objection (fondée sur des motifs raisonnables) à la nomination proposée. Dès réception de cette notification, les parties s'efforceront de trouver une solution commune et acceptable. Pour plus de clarté, lorsque Patsnap fait appel à des sous-traitants tiers pour traiter les données personnelles du client dans certaines circonstances afin de fournir des services, Patsnap limitera son traitement à la réalisation des objectifs énoncés dans le présent ATD et à l'amélioration de ses services uniquement, et s'engage à ne pas vendre, distribuer ou partager de quelque manière que ce soit les données personnelles du client avec des tiers.

4.2 Responsabilité vis-à-vis des sous-traitants ultérieurs.

Patsnap s'engage à :

(a) conclure un accord écrit avec tout sous-traitant secondaire contenant des conditions qui ne sont pas moins protectrices des données personnelles du client que celles contenues dans le présent ATD ; et

(b) être responsable des actes et omissions de ses sous-traitants dans la même mesure que Patsnap serait responsable s'il fournissait directement les services de chacun de ces sous-traitants conformément aux termes du présent ATD.

5. SÉCURITÉ

Patsnap mettra en œuvre les mesures techniques et organisationnelles appropriées pour protéger la sécurité, la confidentialité et l'intégrité des Données personnelles du Client contre toute violation des Données personnelles, comme indiqué dans l'Annexe B. Ces mesures tiendront compte de l'état de la technique, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du Traitement, ainsi que du risque pour les droits et libertés des personnes physiques, afin de garantir un niveau de sécurité adapté au risque. Patsnap contrôle régulièrement le respect de ces mesures techniques et organisationnelles et peut les modifier de temps à autre, à condition que Patsnap maintienne au moins un niveau de protection équivalent. Sur demande écrite du client, Patsnap fournira une description mise à jour des mesures techniques et organisationnelles de Patsnap, dans la mesure applicable, sous la forme présentée dans l'annexe B. Tout le personnel de Patsnap qui traite les données personnelles des clients doit être correctement formé à ses obligations en matière de protection, de sécurité et de confidentialité des données, et est soumis à des obligations écrites de confidentialité.

6. GESTION DES INCIDENTS LIÉS AUX DONNÉES À CARACTÈRE PERSONNEL ET NOTIFICATION

Patsnap informera le Client dans les plus brefs délais après avoir confirmé la survenue d'une violation des données à caractère personnel relatives aux données à caractère personnel du Client. Patsnap apportera une coopération et une assistance commercialement raisonnables pour identifier la cause de la violation des données à caractère personnel et prendra des mesures commercialement raisonnables pour atténuer les effets de la violation des données à caractère personnel et remédier à la cause, dans la mesure où cette réparation relève du contrôle de Patsnap. Sauf si la loi applicable en matière de protection des données l'exige, cela ne s'applique pas aux violations de données à caractère personnel causées par le client, les utilisateurs autorisés du client et/ou tout produit ou service non fourni par Patsnap.

7. RETOUR ET SUPPRESSION DES DONNÉES PERSONNELLES DES CLIENTS

À la résiliation du Contrat, Patsnap supprimera les Données personnelles du Client de ses systèmes conformément aux termes dudit Contrat et à tout moment dans le respect de la Législation applicable en matière de protection des données. Si la suppression immédiate n'est pas possible (par exemple parce que certaines données sont archivées ou stockées dans des fichiers de sauvegarde), Patsnap veillera à ce qu'aucun traitement ultérieur de ces données n'ait lieu après la résiliation du Contrat et les supprimera définitivement dès que possible, au plus tard 45 jours après la résiliation du Contrat. Patsnap peut conserver une copie de toute donnée personnelle du client dont la conservation est requise par la loi pendant toute la durée de la période de conservation applicable, par exemple à des fins d'audit des registres financiers.

8. DISPOSITIONS SPÉCIFIQUES À L'UE

8.1 Assistance. Patsnap traitera les données personnelles du client conformément aux exigences du RGPD directement applicables à la fourniture par Patsnap des produits vendus, concédés sous licence ou fournis au client. Sur demande écrite du client, Patsnap fournira au client une coopération et une assistance commercialement raisonnables et raisonnablement nécessaires pour remplir l'obligation du client en vertu du RGPD de réaliser :

(a) une analyse d'impact relative à la protection des données liée à l'utilisation des Produits par le Client ; et

(b) une consultation préalable auprès d'une autorité de contrôle, dans la mesure où le client n'a pas déjà accès aux informations pertinentes, Patsnap a accès aux informations pertinentes et l'évaluation de l'impact sur la protection des données ou la consultation préalable est requise par la loi sur la protection des données.

8.2 Transferts internationaux de données. Le Client reconnaît et accepte que, quel que soit le lieu où les Données personnelles du Client sont stockées, celles-ci peuvent être transférées vers d'autres juridictions (y compris en dehors de l'EEE) :

(a) afin de fournir une assistance technique et un service client, de gérer les comptes, la facturation et d'autres fonctions annexes, et

(b) comme expressément décrit dans le Contrat ou dans le présent ATD. Patsnap ne transférera pas les Données personnelles du client vers un pays situé en dehors de l'EEE (ni n'autorisera le Traitement des Données personnelles du client dans ou à partir de ce pays), à moins de prendre les mesures nécessaires pour garantir que le transfert est conforme à la Loi sur la protection des données applicable. Lorsque les Données personnelles du client sont transférées d'un Sous-traitant situé dans l'EEE vers un Sous-traitant situé en dehors de l'EEE, dans n'importe quel pays :

(i) non reconnu par la Commission européenne comme offrant un niveau de protection adéquat des données personnelles des clients (tel que décrit dans la loi applicable en matière de protection des données) ; et

(ii) non couvert par un cadre approprié reconnu par les autorités ou les tribunaux compétents comme offrant un niveau de protection adéquat des données personnelles des clients, tout mécanisme de transfert local requis, y compris les clauses contractuelles types, l'IDTA britannique et/ou tout autre mécanisme ou amendement requis par la législation locale, s'applique à ce transfert.

8.3 Audits. Patsnap autorisera et contribuera à des audits sous la forme d'une demande d'informations et/ou de documents par le Client afin de prouver le respect de ses obligations en matière de traitement des Données personnelles du Client par Patsnap, au maximum une fois par an, sauf si le comportement de Patsnap constitue une violation du présent ATD et nécessite donc que le Client demande des informations supplémentaires.

9. DISPOSITIONS SPÉCIFIQUES À LA CALIFORNIE

9.1 CCPA. La présente section 9 s'applique au traitement par Patsnap des données à caractère personnel soumises à la CCPA.

9.2 Utilisation autorisée. Patsnap ne doit pas conserver, utiliser ou divulguer les Données personnelles à des fins autres que celles prévues dans le Contrat ou autorisées par la CCPA, y compris la conservation, l'utilisation ou la divulgation des Données personnelles à des fins commerciales autres que la fourniture des Services spécifiés dans le Contrat.

9.3 Patsnap ne vendra pas les données personnelles du client au sens où le terme « vendre » est défini par la CCPA.

10. GÉNÉRALITÉS

10.1 Durée et résiliation. Le présent ATD restera en vigueur jusqu'à ce que (i) il soit remplacé ou abrogé d'un commun accord entre le Client et Patsnap, ou (ii) le Traitement des Données personnelles du Client et des Données personnelles soit résilié ou expire.

10.2 Modification. Toute modification apportée au présent ATD sera nulle et non avenue à moins d'être consignée par écrit et signée par les deux parties.

10.3 Responsabilité. Toute réclamation déposée en vertu du présent ATD sera soumise aux mêmes conditions générales, y compris les exclusions et limitations de responsabilité, que celles énoncées dans le Contrat. La responsabilité totale de Patsnap et de ses sociétés affiliées pour toutes les réclamations du Client découlant du Contrat et du présent ATD ou liées à ceux-ci s'appliquera de manière globale à toutes les réclamations en vertu du Contrat et du présent ATD et ne dépassera pas les frais payés par le Client au cours des douze (12) mois précédents.

10.4 Loi applicable.

(a) les parties au présent ATD se soumettent par les présentes au choix de juridiction stipulé dans l'Accord en ce qui concerne tout litige ou toute réclamation découlant du présent ATD, y compris les litiges concernant son existence, sa validité ou sa résiliation ou les conséquences de sa nullité ; et

(b) le présent ATD et toutes les obligations non contractuelles ou autres découlant de celui-ci ou en rapport avec celui-ci sont régis par les lois du pays ou du territoire stipulées à cet effet dans l'accord.

10.5 Exemplaires. Le présent DPA peut être signé en plusieurs exemplaires, chacun d'entre eux étant considéré comme un original et tous ensemble constituant un seul et même instrument. Le présent DPA peut être transmis sous forme de document électronique (par exemple, au format PDF), et les copies électroniques des pages signées auront la même valeur que les originaux.

10.6 Intégralité de l'accord. Le présent ATD, conjointement avec l'Accord, constitue l'intégralité de l'accord entre les parties et remplace tout autre accord ou condition préalable ou contemporain, écrit ou oral, concernant le Traitement des Données personnelles du Client par Patsnap pour le compte du Client. En cas de conflit ou d'incohérence entre le présent ATD et l'Accord, l'ordre de priorité suivant prévaudra dans la mesure du conflit ou de l'incohérence :

(a) le présent ATD ; et

(b) l'accord.

10.7 Divisibilité. Si une disposition du présent ATD est jugée inapplicable par un tribunal compétent, cette disposition sera supprimée et les autres dispositions resteront pleinement en vigueur.

Pièce A
Détails du traitement

Durée du traitement des données personnelles des clients :

Pendant la durée de l'abonnement à la plateforme et jusqu'à trois mois après l'expiration de celui-ci, date à laquelle elles sont supprimées par effacement cryptographique. Les informations personnelles identifiables de base limitées, telles que les signataires du contrat et les contacts contractuels, sont conservées indéfiniment à des fins comptables.

Les catégories de données personnelles des clients :

1) Informations personnelles identifiables: nom, adresse e-mail, numéro de téléphone professionnel, adresse IP.

2) Données générées et/ou stockées dans notre application web. 2.1) Métadonnées de liste : données sur les brevets stockés ensemble par le client. 2.2) Métadonnées de brevets personnalisées : annotations, commentaires ou catégorisation personnalisée des données de brevets stockées. Veuillez noter que Patsnap n'autorise pas l'hébergement de documents ni l'importation d'informations sur les brevets qui ne sont pas accessibles au public. Lorsque vous importez un brevet dans Patsnap, nous nous contentons de faire correspondre le numéro du brevet avec un enregistrement de brevet déjà existant dans notre base de données.

3) brevets consultés, requêtes de recherche, analyses effectuées.

Les catégories de personnes concernées Traitées par Patsnap :

1) les employés des clients qui sont des utilisateurs enregistrés et autorisés de la plateforme patsnap

2) les employés des clients désignés par ces derniers pour agir en tant que personnes de contact auprès de Patsnap à des fins de gestion de compte et de facturation

Pièce B
Mesures techniques et organisationnelles de Patsnap

1. INTRODUCTION

Le présent document intitulé « Mesures techniques et organisationnelles de sécurité des données » décrit les mesures techniques et organisationnelles mises en œuvre par Patsnap à l'appui de son cadre de sécurité.

2. CONTRÔLE D'ACCÈS

2.1 CONTRÔLE D'ACCÈS AUX ZONES DE TRAITEMENT (PHYSIQUE)

Les applications Web, les serveurs de communication et les serveurs de bases de données de Patsnap sont situés dans des centres de données sécurisés. Patsnap a mis en place des mesures appropriées afin d'empêcher toute personne non autorisée d'accéder aux équipements de traitement des données (téléphones, bases de données, serveurs d'applications et matériel connexe) sur lesquels les données à caractère personnel sont traitées ou utilisées, notamment les mesuressuivantes :

• Établissement de zones de sécurité.

• Protection et restriction des chemins d'accès.

• Sécurisation des équipements informatiques et des ordinateurs personnels.

• Établir des autorisations d'accès pour les employés et les tiers, y compris la documentation correspondante.

• Réglementations et restrictions relatives aux cartes-clés et aux badges électroniques.

• Restriction de l'accès physique aux serveurs grâce à des portes verrouillées et des cages séparées dans les installations de colocation.

• L'accès au centre de données où sont hébergées les données à caractère personnel est enregistré, surveillé et suivi par des moyens électroniques et par vidéosurveillance et/ou par des cartes d'identité électroniques comportant la photographie des utilisateurs.

2.2 CONTRÔLE D'ACCÈS AUX SYSTÈMES DE TRAITEMENT DES DONNÉES (LOGIQUE)

Patsnap a mis en place des mesures appropriées pour empêcher l'utilisation de ses systèmes de traitement des données par des personnes non autorisées, notamment les suivantes :

• Établir l'identification de l'appareil connecté et/ou des utilisateurs des systèmes Patsnap.

• Déconnexion automatique après une période d'inactivité de la connexion d'un utilisateur administrateur, ce qui implique que l'identifiant et le mot de passe sont nécessaires pour se reconnecter.

• Verrouillage automatique de l'identifiant administrateur après plusieurs saisies de mot de passe erronées.

• Les événements sont consignés et les journaux sont examinés régulièrement.

• Utilisation de pare-feu, de routeurs et de contrôles d'accès basés sur VPN pour protéger les réseaux de services privés et les serveurs back-end.

• Surveillance continue de la sécurité des infrastructures.

• Examiner régulièrement les risques liés à la sécurité par des employés internes et des auditeurs tiers.

• Contrôle d'accès basé sur les rôles mis en œuvre conformément au principe du moindre privilège.

• L'accès à distance à l'infrastructure réseau hébergée par Patsnap est sécurisé grâce à une authentification à deux facteurs.

• L'accès aux serveurs hôtes, aux applications, aux bases de données, aux routeurs, aux commutateurs, etc. est consigné.

• Les demandes d'accès et de gestion de compte doivent être soumises via les systèmes d'approbation internes.

• L'accès doit être approuvé par une autorité compétente. Dans la plupart des cas, l'approbation d'une demande nécessite au moins deux autorisations : celle du responsable hiérarchique de l'employé et celle du responsable ou du « propriétaire » du système ou de l'application interne concerné.

• Les mots de passe doivent respecter la politique de Patsnap en matière de mots de passe, qui comprend des exigences minimales en termes de longueur, de complexité et de réinitialisation périodique.

Patsnap gère des systèmes de prévention des intrusions (IPS), des systèmes de détection des intrusions (IDS) et des systèmes de gestion des incidents et événements de sécurité (SIEM).

2.3 CONTRÔLE D'ACCÈS À L'UTILISATION DE ZONES SPÉCIFIQUES DES SYSTÈMES DE TRAITEMENT DES DONNÉES

Les personnes autorisées à utiliser le système de traitement des données ne peuvent accéder aux données à caractère personnel que dans le cadre et dans la mesure couverts par leur autorisation d'accès respective (autorisation), et ces données à caractère personnel ne peuvent être lues, copiées, modifiées ou supprimées sans autorisation.

• Politiques et formations relatives aux droits d'accès de chaque employé aux données à caractère personnel.

• Les utilisateurs de Patsnap disposent d'identifiants de connexion uniques et un contrôle d'accès basé sur les rôles est utilisé pour restreindre l'accès à certaines fonctions.

• Mesures disciplinaires efficaces et proportionnées à l'encontre des personnes qui accèdent sans autorisation à des données à caractère personnel.

• Contrôle de l'accès aux données des comptes et aux données personnelles des clients via des contrôles d'accès basés sur les rôles (RBAC) conformément au principe de sécurité du « privilège minimum ».

• Segmentation interne et isolation logique des employés de Patsnap afin d'appliquer des politiques d'accès basées sur le principe du moindre privilège.

• Autorisation des droits d'accès par le propriétaire du système, ainsi que surveillance et journalisation.

• Examen continu des comptes et des privilèges (généralement tous les 2 à 4 mois, en fonction du système concerné et de la sensibilité des données auxquelles il donne accès).

• Destruction contrôlée et documentée des données.

• Les développeurs ont accès à des données de test fictives.

3. CONTRÔLE DE LA DISPONIBILITÉ

Patsnap a mis en place des mesures appropriées pour garantir la protection des données personnelles contre toute destruction ou perte accidentelle.

• Infrastructure de services mondiale et redondante, dotée de sites de reprise après sinistre complets.

• Évaluer en permanence les centres de données et les fournisseurs d'accès Internet (FAI) afin d'optimiser les performances pour ses clients en termes de bande passante, de latence et d'isolation pour la reprise après sinistre.

• Implanter les centres de données dans des installations de colocation sécurisées, indépendantes des fournisseurs d'accès Internet et offrant une sécurité physique, une alimentation électrique redondante et une redondance des infrastructures.

• Contrats de niveau de service conclus avec les fournisseurs de centres de données et les FAI afin de garantir des niveaux élevés de disponibilité.

• Patsnap dispose de sites de reprise après sinistre (DR) à pleine capacité et teste chaque année son plan de reprise après sinistre.

4. CONTRÔLE DE LA TRANSMISSION

Patsnap a mis en place des mesures appropriées pour empêcher que les données personnelles ne soient lues, copiées, modifiées ou supprimées par des personnes non autorisées pendant leur transmission ou pendant le transport des supports de données.

• Utilisation de pare-feu et de technologies de cryptage adéquats pour protéger les passerelles et les pipelines par lesquels transitent les données.

• Les données personnelles sensibles sont cryptées pendant leur transmission à l'aide des versions les plus récentes du protocole TLS et/ou d'autres protocoles de sécurité (HTTPS) utilisant des algorithmes et des clés de cryptage puissants.

• Chiffrement de bout en bout du partage d'écran pour l'accès à distance, l'assistance et la communication en temps réel.

• Utilisation de contrôles d'intégrité pour vérifier l'exhaustivité et l'exactitude du transfert des données (par exemple, SFTP).

5. CONTRÔLE DES ENTRÉES

Patsnap a mis en place des mesures appropriées pour garantir qu'il soit possible de vérifier et d'établir si des données à caractère personnel ont été saisies dans les systèmes de traitement des données ou supprimées, et par qui.

• Authentification du personnel autorisé.

• Séparation et protection de toutes les données personnelles stockées via des schémas de base de données, des contrôles d'accès logiques et/ou le cryptage.

• Utilisation des identifiants d'utilisateur.

• Sécurité physique des installations de traitement des données.

• Expiration de la session.

6. SÉPARATION DU TRAITEMENT À DES FINS DIFFÉRENTES

Patsnap a mis en place des mesures appropriées pour garantir que les données personnelles collectées à des fins différentes puissent être traitées séparément. Les données personnelles ne peuvent être utilisées qu'aux fins pour lesquelles elles ont été initialement collectées.

7. DOCUMENTATION

Patsnap conserve la documentation relative aux mesures techniques et organisationnelles en cas d'audits et à des fins de conservation des preuves. Patsnap prend des mesures raisonnables pour s'assurer que ses employés et les autres personnes présentes sur le lieu de travail connaissent et respectent les mesures techniques et organisationnelles énoncées dans le présent document. Patsnap peut, à sa discrétion, mettre à la disposition de ses clients les parties non confidentielles des rapports d'audit afin de vérifier la conformité avec les mesures techniques et organisationnelles prises dans le présent document.

8. SURVEILLANCE

Patsnap n'accède pas aux données personnelles des clients, sauf pour fournir des services au client que Patsnap est tenu d'exécuter afin d'améliorer l'expérience client, conformément à la loi ou à la demande du client. Patsnap a mis en place des mesures appropriées pour contrôler les restrictions d'accès des administrateurs système de Patsnap et s'assurer qu'ils agissent conformément aux instructions reçues.

Ceci est réalisé par :

• Nomination individuelle des administrateurs système.

• Adoption de mesures appropriées pour enregistrer les journaux d'accès des administrateurs système à l'infrastructure et les conserver de manière sécurisée, précise et inchangée pendant une période raisonnable.

• Audits réguliers des activités des administrateurs système afin d'évaluer la conformité avec les tâches assignées.

9. DÉFINITIONS

« Patsnap » désigne Patsnap (UK) Ltd et toutes ses filiales directes et indirectes.

Le terme « client » désigne tout acheteur d'une offre Patsnap.

Les « données à caractère personnel » désignent toute information se rapportant directement ou indirectement à une personne physique identifiée ou identifiable.

Le « cadre de sécurité » désigne l'ensemble des politiques et procédures de Patsnap régissant la sécurité de l'information, y compris, mais sans s'y limiter, les politiques, les formations, l'éducation, la surveillance, les enquêtes et l'application de ses efforts en matière de gestion et de sécurité des données.