CONDITIONS GÉNÉRALES ET ANNEXE SUR LE TRAITEMENT DES DONNÉES

Entre :

Penneo A/S
Numéro d’immatriculation (CVR) no. 35633766
Enghavevej 40, 4ème étage
DK-1674 Copenhague V
(ci-après « Penneo »).

Et

Nom du Client
Numéro d’immatriculation
Adresse
Code postal et Ville
Pays
(ci-après le « Client »).

Penneo et le Client (ci-après individuellement la « Partie » et collectivement les « Parties ») ont conclu les présentes conditions générales (ci-après les « Conditions Générales ») et un accord sur le traitement des données (ci-après « Annexe sur le traitement des données » ou « DPA »).

DÉFINITIONS :

Définitions générales

• « Contrat » désigne les Conditions Générales, l’Annexe sur le Traitement des Données, la Confirmation de commande et toute annexe relative à ces documents.
• « Plateforme(s) » désigne la ou aux Plateforme(s) de service numérique, Penneo Sign et/ou Penneo KYC, fournies par Penneo au Client dans le cadre du Contrat. 
• « Confirmation de commande » fait partie intégrante du Contrat et fournit des détails sur les prix, caractéristiques des produits et services additionnels convenus entre Penneo et le Client.
• L’ « Utilisation » pour chaque Plateforme est déterminée selon l’abonnement choisi et est spécifiée dans la Confirmation de commande et/ou la dernière facture émise.

Penneo Sign 

• « Penneo Sign » désigne la plateforme de signature de Penneo, permettant la création de dossiers et la signature électronique de documents.
• « Signature » désigne la signature électronique d’un individu appliquée à un seul document.

Penneo KYC 

• « Penneo KYC » désigne la Plateforme permettant la collecte et le stockage sécurisé de données d’identification et de documents connexes, permettant au Client d’exécuter des mesures de vigilance raisonnables et des évaluations des risques pour ses clients. 
• « Client(s) actif(s) » désigne une/des relation(s) client(s) qui a/ont été active(s) dans la Plateforme Penneo KYC à tout moment pendant la Période d’abonnement.
• « Client(s) inactif(s) » désigne une/des relation(s) client(s) qui a/ont été archivée(s) dans la Plateforme Penneo KYC pendant toute la Période d’abonnement. Les données associées au(x) client(s) inactif(s) ne seront plus mises à jour sur la Plateforme.
• « Clients » désigne les relations clients entre le Client et ses propres clients (entités juridiques ou personnes physiques) créées sur la plateforme Penneo KYC. Cela inclut à la fois les clients actifs et les clients inactifs. 

1. CHAMP D’APPLICATION 

1. 1.1. Champ d’application. Le Contrat donne accès au Client à la/aux Plateforme(s) selon l’abonnement sélectionné, tel que décrit dans la Confirmation de commande. L’objet du Contrat est de définir les conditions de la fourniture de la/des Plateforme(s) au Client.
2. 1.2. Plateforme(s). La/les Plateforme(s) est/sont fournie(s) en tant que service logiciel (SaaS), accessible(s) via internet. Le Client peut se connecter à la ou aux Plateforme(s) via une application web, une application de bureau, l’API de Penneo ou par le biais d’intégrations partenaires, selon l’abonnement sélectionné. 
3. 1.3. Support client. Le support client est inclus dans l’abonnement, et est principalement fourni en anglais. Il permet au Client de soumettre des demandes de support standard relatives à l’utilisation et aux fonctionnalités de la/des Plateforme(s) via un système de tickets. Tout support additionnel doit être convenu par écrit entre les Parties et peut entraîner une facturation supplémentaire de la part de Penneo.
4. 1.4. Dérogations. Toute dérogation ou modification au Contrat doit être spécifiée dans un avenant qui, une fois signé par les Parties, devient partie intégrante du Contrat. 

2. DURÉE ET RÉSILIATION

1. 2.1. Période d’abonnement. Le Contrat entre en vigueur à la date de signature de celui-ci. Le Client s’engage à une période d’abonnement de douze (12) mois (ci-après « Période d’abonnement ») à compter de la date de signature du Contrat ou de toute autre date convenue dans la Confirmation de commande (ci-après la « Date de début »).
2. 2.2. Renouvellement automatique. Si le Contrat n’est pas résilié conformément aux dispositions de la clause 2.4, le Contrat est automatiquement renouvelé pour une période d’abonnement supplémentaire de douze (12) mois, sur la base de l’Utilisation du Client au moment du renouvellement.
3. 2.3. Nouvelle Confirmation de commande. La signature d’une nouvelle Confirmation de commande ou tout accord modifiant de manière significative le Contrat entraînera un ajustement de la Date de début et de la Période d’abonnement en conséquence, sauf indication contraire dans la Confirmation de commande.
4. 2.4. Résiliation. Le Client peut résilier le Contrat en fournissant à Penneo un préavis d’au moins trois (3) mois avant la fin de la Période d’abonnement en cours, en utilisant le formulaire disponible sur le site web de Penneo à l’adresse https://penneo.com/contact/#manage-subscription. La résiliation prendra effet à la fin de la période de préavis (ci-après l’« Expiration du Contrat »).
5. 2.5. Expiration. Le droit du Client d’accéder et d’utiliser la/les Plateforme(s) cessera à l’Expiration du Contrat. Penneo supprimera le compte du Client ainsi que les données associées dans un délai de quatre-vingt-dix (90) jours après l’Expiration du Contrat. 

3. FRAIS, UTILISATION ET CONDITIONS DE PAIEMENT 

1. 3.1. Frais. Les frais pour chaque Période d’abonnement sont facturés annuellement, sur la base de l’Utilisation du Client, convenue dans la Confirmation de commande ou conformément à la clause 3.2. Les remises figurant dans la Confirmation de commande ne s’appliquent qu’à la première année de la Période d’abonnement, sauf indication contraire explicite dans la Confirmation de commande.
2. 3.2. Ajustements d’Utilisation pendant la Période d’abonnement. Le Client ne peut pas réduire l’Utilisation pendant une Période d’abonnement en cours. L’Utilisation peut toujours être augmentée pendant une Période d’abonnement en notifiant Penneo au préalable et sera facturée pour la Période d’abonnement restante. Tout excès d’Utilisation sans notification préalable sera facturé à la fin de la Période d’abonnement.
3. 3.3. Ajustements d’Utilisation lors du renouvellement. Le Client peut demander une réduction de l’Utilisation pour la prochaine Période d’abonnement en fournissant un préavis d’au moins trois (3) mois avant la date de renouvellement via https://penneo.com/contact/#manage-subscription. Si la réduction est inférieure à 10 % de l’Utilisation actuelle, la demande peut exceptionnellement être soumise jusqu’à un (1) mois avant la date de renouvellement. Penneo informera le Client de tout dépassement d’Utilisation en temps utile avant le renouvellement de la Période d’abonnement. En cas d’absence de réponse par le Client dans un délai d’un (1) mois après la notification, l’Utilisation sera automatiquement augmentée pour la prochaine Période d’abonnement.
4. 3.4. Paiement et facturation. Tous les paiements sont dus dans un délai de quatorze (14) jours à compter de la date de facturation, sur le compte bancaire spécifié sur la facture, et doivent être reçus sans frais ou coûts imputés à Penneo. Tous les paiements effectués par le Client dans le cadre du Contrat sont non remboursables. Le Client accepte de recevoir les factures par e-mail ou via la facturation électronique utilisant un numéro EAN ou un numéro national de facturation électronique équivalent spécifié par le Client. Si le Client utilise une carte de crédit, ou un mode de paiement en ligne similaire, pour le paiement initial, Penneo peut facturer ce mode de paiement lors du renouvellement de la Période d’abonnement, y compris pour les frais impayés ou tout dépassement d’Utilisation. 
5. 3.5. Taxes et réclamations. Les frais indiqués dans la Confirmation de commande incluent toutes les taxes applicables, à l’exclusion de la TVA, calculée et ajoutée au moment de la facturation. Le Client ne peut compenser les frais avec d’autres réclamations. 
6. 3.6. Retard de paiement. En cas de retard de paiement, Penneo se réserve le droit de :
   1. 3.6.1. Appliquer des intérêts de 1,5 % par mois sur le solde impayé ou le taux maximum autorisé par la loi, selon le montant le plus bas, pour chaque mois jusqu’à réception du paiement intégral par Penneo.
   2. 3.6.2. Désactiver l’accès du Client à la ou aux Plateforme(s) si le paiement n’est pas reçu vingt (20) jours après la notification de Penneo au Client. L’accès sera rétabli dès que le paiement intégral aura été reçu par Penneo.
7. 3.7. Ajustements de prix.
   1. 3.7.1. Penneo ajuste ses prix en fonction d’un indice national pertinent des prix. Les ajustements positifs (supérieurs à 0 %) sont calculés sur la base de la différence entre l’indice d’octobre à octobre chaque année et s’appliqueront automatiquement lors du renouvellement l’année suivante sans notification supplémentaire.
   2. 3.7.2. Penneo informera le Client au moins quatre (4) mois avant la date de renouvellement pour toute autre augmentation de prix pour la prochaine Période d’abonnement.
   3. 3.7.3. Dans des cas exceptionnels où les fournisseurs de Penneo, indispensables à la fourniture de la/des Plateforme(s), augmentent leurs prix, Penneo se réserve le droit d’ajuster les prix en conséquence, sous réserve de justification. Penneo informera le Client avec un préavis écrit de trois mois.

4. MARKETING ET COMMUNICATION ENTRE LES PARTIES 

1. 4.1. Référence. Penneo est autorisé à utiliser le nom, le logo et d’autres détails d’identification du Client comme référence sur son site web et dans ses supports marketing, sauf si le Client s’y est opposé expressément et par écrit.
2. 4.2. Notifications de service. Le Client recevra des notifications concernant l’utilisation de la/des Plateforme(s) par e-mail, adressé aux utilisateurs du Client disposant de droits d’administrateurs ou via la/les Plateforme(s) directement. Le Client est responsable de maintenir une liste à jour des utilisateurs disposant de droits d’administrateurs. Une notification est considérée comme reçue dès qu’elle atteint le système de messagerie électronique du destinataire. Si l’accès est empêché en raison de problèmes liés au système de messagerie électronique du destinataire, ce dernier assume tous les risques associés.
3. 4.3. Communication. Tous les avis, communications et informations liés au Contrat seront transmis par e-mail ou par d’autres moyens électroniques.

5. MESURES DE SÉCURITÉ ET DISPONIBILITÉ 

1. 5.1. Mesures de sécurité. Penneo doit mettre en œuvre et maintenir des mesures de sécurité appropriées pour garantir une prestation sécurisée et fiable des services spécifiés dans le Contrat. Ces mesures de sécurité font partie du système de gestion de la sécurité de l’information et de la protection de confidentialité de Penneo, qui comprend des politiques formelles, des rôles et responsabilités clairement définis, ainsi que des contrôles techniques, organisationnels et physiques. Penneo engage un auditeur indépendant pour vérifier son système de gestion de la sécurité de l’information et de la protection de la confidentialité. L’Annexe C de l’Annexe sur le traitement des données (DPA) contient des informations supplémentaires sur les mesures de sécurité mises en œuvre. 
2. 5.2. Disponibilité. Penneo s’engage à maintenir une disponibilité d’au moins 99,9 % sur une base mensuelle. Penneo maintient un site web public permettant au Client de surveiller la disponibilité de Penneo, accessible à l’adresse suivante : https://status.penneo.com/.
3. 5.3. Maintenance. La maintenance planifiée nécessaire pour des raisons opérationnelles doit être communiquée au Client et est exclue du temps d’indisponibilité de la clause 5.2. Penneo s’efforcera de planifier cette maintenance entre 17h00 à 06h00 CET/CEST.0 to 06:00 CET/CEST.

6. TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL 

1. 6.1. Annexe sur le traitement des données. Penneo et le Client ont conclu une Annexe sur le Traitement des Données, qui fait partie intégrante du Contrat, pour le traitement des données à caractère personnel. 

7. DROIT D’UTILISATION ET DROITS DE PROPRIÉTÉ INTELLECTUELLE 

1. 7.1. Droit d’utilisation. Le droit du Client d’utiliser la/les Plateforme(s) est non exclusif, non transférable et conditionné au paiement et au respect du Contrat.
2. 7.2. Restrictions. Le Client s’engage à ne pas participer à des activités trompeuses, contraires à l’éthique, frauduleuses ou illégales en lien avec la/les Plateforme(s), ni à utiliser la/les Plateforme(s) pour stocker ou transmettre des contenus illégaux illégaux ou contraires à l’éthique.
3. 7.3. Droits de propriété intellectuelle. Penneo conserve tous les droits de propriété intellectuelle sur la/les Plateforme(s). Le Client doit respecter tous les droits de propriété intellectuelle associés à la/aux Plateforme(s) et est responsable de toute violation de ces droits par ses employés ou des tiers.
4. 7.4. Feedback. Si le Client fournit des retours, suggestions ou commentaires concernant la/les Plateforme(s) et les services de Penneo, le Client accorde à Penneo une licence perpétuelle, irrévocable, transférable, sans redevance et mondiale pour exploiter et intégrer ces retours dans la/les Plateforme(s).

8. CONFIDENTIALITÉ

1. 8.1. Définition. Les informations confidentielles désignent toute information divulguée par une Partie (« la Partie Divulgatrice ») à l’autre Partie (« la Partie Réceptrice ») dans le cadre, ou en lien, avec le Contrat et la fourniture de la/des Plateforme(s), qui devrait raisonnablement être considérée comme confidentielle en raison de sa nature et des circonstances de sa divulgation (ci-après « Informations Confidentielles »).
2. 8.2. Obligation de confidentialité. La Partie Réceptrice ne peut utiliser les Informations Confidentielles qu’en conformité avec les termes du Contrat et ne peut pas les divulguer à des tiers, pendant et après la durée du Contrat, sauf autorisation écrite de la Partie Divulgatrice.
3. 8.3. Exclusion. L’obligation de confidentialité ne s’applique pas aux informations qui (a) étaient déjà connues de la Partie Réceptrice avant le Contrat, (b) deviennent accessibles au public sans faute de la Partie Réceptrice, (c) sont reçues d’un tiers sans violation des obligations de confidentialité, ou (d) doivent être divulguées par la loi, par décision judiciaire ou par ordre d’une autorité publique.

9. MANQUEMENT GRAVE AUX OBLIGATIONS CONTRACTUELLES

1. 9.1. Notification. Si l’une des Parties commet un manquement grave aux obligations contractuelles,  la Partie non défaillante doit notifier la Partie défaillante par e-mail sans délai. Si la Partie défaillante n’a pas remédié au manquement dans un délai de dix (10) jours ouvrables à compter de la notification, la Partie non défaillante peut résilier le Contrat immédiatement.
2. 9.2. Conséquences. En cas de manquement grave de la part du Client, Penneo est en droit de conserver l’intégralité du paiement pour la Période d’abonnement pendant laquelle la violation s’est produite, indépendamment du moment où le Contrat est résilié. En cas de manquement grave de la part de Penneo, le Client peut demander un remboursement des paiements effectués à compter de la date de la notification de la violation à Penneo, conformément à la clause 9.1.

10. RESPONSABILITÉ

1. 10.1. Responsabilité. Chaque Partie est responsable des dommages causés à l’autre Partie, sauf dans les cas limités ci-dessous. Ces limitations ne s’appliquent pas en cas de négligence grave ou de faute intentionnelle de la Partie responsable.
2. 10.2. Pertes indirectes et consécutives. Penneo décline toute responsabilité pour les pertes indirectes ou consécutives, y compris, sans s’y limiter, les pertes d’exploitation, le manque à gagner et la perte de réputation ou de clientèle du Client.
3. 10.3. Modifications unilatérales. Penneo décline toute responsabilité pour les dommages résultant de modifications unilatérales apportées par le Client ou par un tiers à la ou aux Plateforme(s), telles que l’ajout de fonctionnalités, intégrations, ou suppression de paramètres, sans l’approbation préalable de Penneo.
4. 10.4. Limitation de responsabilité. Sauf en cas de responsabilité liée aux produits couverte par la clause 10.5, la responsabilité de Penneo découlant du Contrat est limitée au montant le plus bas entre :
   • 3,500.00 EUR (ou montant équivalent calculé selon le taux de change au moment du dommage) par Période d’abonnement ;
   • le montant payé par le Client à Penneo pour la Période d’abonnement pendant laquelle le dommage s’est produit.

5. 10.5. Responsabilité liée aux produits. Penneo maintient une assurance responsabilité produit adéquate, avec une couverture minimale de 15 000 000 DKK. Toute réclamation liée à la responsabilité liée aux produits dans le cadre du Contrat est limitée au montant de couverture fourni par l’assurance.
6. 10.6. Indemnisation pour droits de propriété intellectuelle. Les Parties conviennent de remplir leurs obligations dans le cadre du Contrat sans porter atteinte aux droits de propriété intellectuelle de tiers. Si une Partie manque à cette obligation, elle devra (a) défendre l’autre Partie contre les réclamations de tiers pour atteinte aux droits de propriété intellectuelle résultant de son utilisation de la/des Plateforme(s) ou de l’exécution du Contrat ; et (b) indemniser et rembourser l’autre Partie pour tout dommage, amende ou coût résultant, à condition que la réclamation découle de ses actions, omissions ou responsabilités.esponsibilities. 

11. FORCE MAJEURE

1. 11.1. Force majeure. Si Penneo est dans l’incapacité de remplir ses obligations contractuelles en raison d’un cas de force majeure, Penneo en informera immédiatement le Client. La force majeure désigne des circonstances échappant au contrôle de Penneo qui ne peuvent être atténuées par des mesures financières et/ou pratiques raisonnables, y compris, mais sans s’y limiter, la guerre, la mobilisation, les attaques terroristes, les défaillances ou pannes de l’approvisionnement public en électricité, les grèves, les pandémies, les incendies ou les inondations.
2. 11.2. Conséquences. Aucune des Parties ne sera responsable des dommages résultant d’un cas de force majeure. Si la/les Plateforme(s) restent inaccessible(s) en raison d’un cas de force majeure pendant plus de trente (30) jours consécutifs, chaque Partie  peut résilier le Contrat par écrit, sans ouvrir droit à des réclamations envers l’autre Partie.

12. LITIGES ET DROIT APPLICABLE 

1. 12.1. Droit applicable. Le Contrat, ainsi que tout litige en découlant, est régi conformément au droit danois.
2. 12.2. Compétence juridictionnelle. En cas de différend relatif à l’interprétation, l’exécution ou la résiliation du Contrat, les Parties s’engagent à tenter de résoudre le litige par des négociations de bonne foi. À défaut de résolution amiable, tout litige sera soumis à la compétence exclusive du Tribunal de Copenhague, en tant que juridiction de première instance.

13. AUTRES DISPOSITIONS 

11. 13.1. Mise à jour. Le Client sera informé par e-mail de toute mise à jour des Conditions Générales et de l’Annexe sur le Traitement des Données trois (3) mois avant que les modifications n’entrent en vigueur.
12. 13.2. Applicabilité. Si une disposition du Contrat est jugée illégale, invalide ou inapplicable, elle sera appliquée dans toute la mesure permise par la loi afin de refléter l’intention initiale des Parties. L’invalidité d’une disposition n’affectera pas la validité ou l’applicabilité des autres dispositions.
13. 13.3. Survie des dispositions. Toute disposition du Contrat destinée à survivre à sa résiliation, en tout ou en partie, restera valide, contraignante et applicable aux Parties au-delà de la résiliation du Contrat. 

ANNEXE SUR LE TRAITEMENT DES DONNÉES (DPA)

ENTRE

Penneo A/S (ci-après le « Sous-traitant »)

ET

Le Client (ci-après le « Responsable du traitement »)

Le Client et Penneo ont conclu un contrat pour la fourniture de Plateforme(s) numérique(s). Cette Annexe sur le Traitement des Données (ci-après « Annexe sur le Traitement des Données » ou « DPA ») fait partie intégrante du Contrat et définit les conditions liées au traitement des données à caractère personnel. Elle contient les annexes suivantes :

• Annexe A : contient les informations sur le traitement des données à caractère personnel, notamment l’objectif et la nature du traitement, le type de données à caractère personnel et les catégories de personnes concernées. 
• Annexe B : contient les conditions relatives à l’utilisation de sous-traitants ultérieurs par Penneo, autorisés par le Client.
• Annexe C : contient les instructions du Client concernant le traitement des données à caractère personnel, les mesures de sécurité minimales et les modalités d’audit de Penneo et de tout sous-traitant ultérieur.

1. CHAMP D’APPLICATION 
   1. Instructions de traitement. Penneo traitera les données du Client, y compris les données à caractère personnel, en tant que Sous-traitant, pour le compte du Client, dans le but de fournir la/les Plateforme(s). Les données seront uniquement traitées conformément aux instructions du Client, en tant que Responsable du traitement.
   2. Suppression. Penneo traite les données du Client, y compris les données à caractère personnel, pendant la durée du Contrat. Penneo supprimera toutes les données du Client, y compris les données à caractère personnel, dans un délai de quatre-vingt-dix (90) jours après la date d’Expiration du Contrat. Aucun traitement ou conversion des données ne sera effectué par Penneo après la date d’Expiration du Contrat. 
   3. Contact. Le Client peut adresser toute question relative à cette Annexe sur le Traitement des Données au délégué de la protection des données de Penneo à l’adresse suivante : compliance@penneo.com. 
2. CONFIDENTIALITÉ 
   1. Confidentialité. Penneo traite les données du Client traitées dans le cadre du Contrat comme des informations confidentielles. Penneo doit s’assurer que tous les employés sont liés par un accord de confidentialité valable au-delà de la durée de leur emploi.
3. BASE LÉGALE DU TRAITEMENT
   1. Base légale. Chaque Partie doit s’assurer que le traitement des données pour lequel elle agit en tant que responsable du traitement repose sur une base légale et respecte le Règlement général sur la protection des données (RGPD) ainsi que les réglementations nationales en matière de protection des données.
4. TRAITEMENT SÉCURISÉ
   1. Mesures de sécurité. Penneo met en place des mesures de sécurité visant à protéger de manière adéquate l’intégrité et la confidentialité des données du Client. Penneo doit également garantir la disponibilité des données sur la/les Plateforme(s).
   2. Incident de sécurité. Penneo doit notifier le Client sans retard excessif et, dans la mesure du possible, au plus tard trente-six (36) heures après avoir pris connaissance d’un incident de sécurité. Un incident de sécurité se définit comme toute violation de la sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès, accidentel ou illicite, aux données du Client traitées par Penneo et/ou ses sous-traitants ultérieurs.
   3. Signalement. Penneo doit aider le Client à respecter son obligation de signalement auprès de l’autorité de protection des données compétente dans un délai de soixante-douze (72) heures.
5. SOUS-TRAITANCE ULTÉRIEURE
   1. Autorisation générale. Penneo dispose de l’autorisation explicite et générale du Client pour engager des sous-traitants ultérieurs. Penneo doit conclure un accord écrit avec chaque sous-traitant ultérieur, garantissant que ce dernier respecte les dispositions de la législation européenne et les dispositions décrites dans cette Annexe sur le traitement des données. Penneo reste responsable envers le Client si un sous-traitant ultérieur ne respecte pas ses obligations en matière de protection des données pour les activités de traitement relevant du Contrat.
   2. Liste des sous-traitants ultérieurs. Penneo maintient une liste à jour de ses sous-traitants ultérieurs, accessible via https://penneo.com/subprocessors/.
   3. Notification des nouveaux sous-traitants ultérieurs. Penneo informera le Client par écrit de tout changement envisagé concernant l’ajout ou le remplacement de sous-traitants ultérieurs au moins trente (30) jours à l’avance.
   4. Objection aux nouveaux sous-traitants ultérieurs. Pendant le délai de préavis de trente (30) jours, le Client peut s’opposer par écrit à l’introduction d’un nouveau sous-traitant ultérieur, ce qui entraînera la résiliation du Contrat, conformément aux dispositions de la clause 2.4 des Conditions Générales.
   5. Pays tiers. Tout transfert de données à caractère personnel vers des pays tiers ne peut être effectué par Penneo que sur la base d’instructions documentées du Client et doit toujours être conforme au chapitre V du RGPD.
6. OBLIGATIONS D’ASSISTANCE ET DE COOPÉRATION
   1. Droits des personnes concernées. Penneo assistera le Client, dans la mesure du possible, afin de répondre aux demandes liées aux droits des personnes concernées.
   2. Obligations de coopération. Sur demande raisonnable du Client, Penneo assistera le  Client afin de l’aider à remplir ses obligations en vertu du RGPD, à condition que le Client ne puisse raisonnablement remplir ces obligations de manière indépendante à l’aide de la documentation déjà fournie par Penneo.
7. EFFACEMENT ET RESTITUTION DES DONNÉES
   1. Pendant la Période d’abonnement. Le Client peut accéder, rectifier, récupérer et supprimer des données via les fonctionnalités disponibles sur la/les Plateforme(s) pendant la Période d’abonnement.
   2. À l’expiration du Contrat. Penneo supprimera toutes les données du Client que Penneo stocke en tant que Sous-traitant, y compris les données à caractère personnel, dans un délai de quatre-vingt-dix (90) jours suivant l’Expiration du Contrat.
8. AUDIT
   1. Rapports d’audit. Penneo est régulièrement soumis à des audits réalisés par des auditeurs tiers indépendants. Sur demande, Penneo fournira au Client la documentation pertinente permettant de vérifier la conformité de Penneo avec les meilleures pratiques en matière de sécurité de l’information et de mesures de protection de la confidentialité. Des informations complémentaires peuvent être communiquées par écrit ou verbalement, sur demande raisonnable.
   2. Audit sur site. Si les rapports d’audit ne répondent pas raisonnablement aux exigences de conformité du Client, ce dernier peut demander qu’un audit soit effectué par un tiers indépendant. Cet audit supplémentaire sera réalisé aux frais du Client et l’auditeur doit être approuvé mutuellement par le Client et Penneo. L’audit doit avoir lieu pendant les heures ouvrables habituelles et ne doit pas perturber les opérations quotidiennes de Penneo. Le Client doit notifier Penneo par écrit au moins quatre-vingt-dix (90) jours avant l’audit.

ANNEXE A – INFORMATIONS SUR LE TRAITEMENT

A.1. Penneo Sign 

1. Objectif et nature du traitement : fournir la Plateforme Penneo Sign au Client, conformément au Contrat. Penneo ne vend, n’échange, ni ne cherche d’aucune manière à monétiser les données du Client. 
2. Catégories de personnes concernées :
   1. Utilisateurs du Client sur la Plateforme.
   2. Destinataires des dossiers.
3. Catégories de données traitées :
   1. Nécessite le traitement de données à caractère personnel tel que défini à l’Article 4(1) du RGPD.
   2. Ne nécessite pas le traitement de données à caractère personnel tel que défini aux Articles 9 (1) et 10 du RGPD. Le Client peut utiliser la plateforme Penneo Sign pour traiter de telles données.
4. Types de données traitées :
   1. Données requises : nom complet, adresse e-mail, adresse IP.
   2. Données facultatives (définies par l’utilisateur du Client) : fonction, numéro de téléphone, informations d’identification électronique, numéro d’identification nationale.

A.2. Penneo KYC

1. Objectif et nature du traitement : fournir la Plateforme Penneo KYC au Client, conformément au Contrat. Penneo ne vend, n’échange, ni ne cherche d’aucune manière à monétiser les données du Client. 
2. Catégories de personnes concernées :
   1. Utilisateurs du Client sur la Plateforme.
   2. Interlocuteurs des Clients actifs ou inactifs: personnes de contact, représentants, bénéficiaires effectifs ou autres personnes physiques agissant au nom de l’entité juridique ou de la personne physique.
3. Catégories de données traitées :
   1. Nécessite le traitement de données à caractère personnel tel que défini à l’Article 4(1) du RGPD.
   2. Ne nécessite pas le traitement de données à caractère personnel tel que défini aux Articles 9(1) et 10 du RGPD. Le Client peut utiliser Penneo KYC pour traiter de telles données.
4. Types de données traitées :
   1. Utilisateurs du Client : nom complet, fonction, adresse e-mail, numéro de téléphone, photo de profil utilisateur.
   2. Interlocuteurs des Clients, selon les préférences du Client dans la Plateforme : informations de contact (par exemple, adresse e-mail et numéro de téléphone), fonction, données d’identification (par exemple, nom complet, date et lieu de naissance, nationalité, adresse de résidence), documents d’identification (par exemple, copies de la pièce d’identité nationale, passeport, permis de conduire ou équivalents), informations d’identification électronique, statut PPE (Personne Politiquement Exposée) et relations familiales.

ANNEXE B – SOUS-TRAITANTS ULTÉRIEURS

1. B.1. En concluant le Contrat avec Penneo, le Client autorise l’utilisation des sous-traitants ultérieurs répertoriés sur : https://penneo.com/subprocessors/.
2. B.2. De nouveaux sous-traitants ultérieurs ne peuvent être ajoutés qu’en conformité avec la clause E de l’Annexe sur le traitement des données.

ANNEXE C – SÉCURITÉ DU TRAITEMENT

Penneo exploite un système de gestion de la sécurité de l’information et de la confidentialité afin de garantir la confidentialité et l’intégrité des données traitées, ainsi que la disponibilité et la résilience de la/des Plateforme(s). Penneo détermine les mesures de sécurité techniques et organisationnelles nécessaires pour établir le niveau requis de sécurité. En tout état de cause, au minimum, Penneo garantit que les mesures de sécurité suivantes ont été mises en œuvre :

C.1. Gouvernance et gestion des risques

La politique de sécurité et de confidentialité de Penneo est approuvée par la direction et révisée annuellement. Une procédure de gestion des risques est également mise en place pour identifier, évaluer et traiter les risques pertinents, prenant en compte les menaces et vulnérabilités internes et externes en relation avec les données traitées dans la/des Plateforme(s) pour le compte des clients. Des canaux internes de signalement garantissent des décisions éclairées de la direction et du conseil d’administration.

C.2. Audit externe

Penneo engage un auditeur externe pour effectuer des audits réguliers du système de gestion de la sécurité de l’information et de la confidentialité de Penneo, suivant les meilleures pratiques conformément aux normes ISO 27001 et ISO 27701.

C.3. Droits d’accès et confidentialité

Penneo a mis en place une politique formelle de gestion des accès garantissant que les droits d’accès à la/aux Plateforme(s) ainsi qu’aux systèmes internes respectent les principes de « Least Privilege » et de « Need to know ». La gestion des accès est intégrée dans les processus d’arrivée, de mobilité et de départ des employés, et utilise l’authentification à deux facteurs et la connexion unique (SSO) pour renforcer la protection des accès aux systèmes de l’organisation. 

L’accès aux environnements de production de la/des Plateforme(s) est restreint par des mesures techniques supplémentaires, telles que l’authentification à deux facteurs, VPN, les accès par rôles et comptes utilisateur uniques, ordinateur portables protégés par des mots de passe, politique de verrouillage d’écran et chiffrement des disques durs. Les droits d’accès sont révisés annuellement. 

C.4. Sensibilisation et formation

Les nouveaux employés de Penneo suivent une formation initiale relative à la sécurité de l’information et à la confidentialité. Tous les employés suivent une formation de conformité annuelle, ainsi que des formations spécifiques aux rôles des employés, axés sur les meilleures pratiques en ingénierie, la sécurité de l’information et la confidentialité.

C.5. Développement sécurisé et opérations

Penneo a instauré une politique formelle de cycle de vie de développement logiciel pour garantir un développement sécurisé, incluant une révision obligatoire par les pairs des modifications de code en production, des environnements logiquement séparés et une micro-segmentation garantissent que le développement et les tests se déroulent dans des environnements non liés à la production. Les données des clients traitées dans la/les Plateforme(s) sont stockées dans des centres de données situés dans l’Union européenne.

C.6. Continuité d’activité et reprise après sinistre

Penneo effectue des sauvegardes quotidiennes des stockages et bases de données dans le cadre de son plan de continuité d’activité. Penneo dispose d’un plan de reprise après sinistre, testé annuellement, garantissant que Penneo est prêt à restaurer la/les Plateforme(s) et les données des clients en cas d’incident. Une analyse post-test est effectuée pour garantir une amélioration continue de la gestion de la continuité d’activité et du plan de reprise après sinistre.

C.7. Cryptographie

Les données des clients traitées dans la/les Plateforme(s) sont chiffrées en transit à l’aide de TLS 1.2 ou supérieur et au repos. Penneo garantit que les ordinateurs des employés disposent du chiffrement des disques durs activé.

C.8. Gestion des fournisseurs

Penneo applique une politique stricte afin de garantir la fiabilité des fournisseurs utilisés au soutien de la/des Plateforme(s). Tous les fournisseurs sont soumis à une évaluation de sécurité et de confidentialité. La conformité des sous-traitants autorisés à traiter les données dans la/les Plateforme(s) est contrôlée et leur documentation examinée, au moins une fois par an.

C.9. Gestion des vulnérabilités

Penneo surveille les vulnérabilités au niveau technique, juridique et de conformité. L’équipe juridique de Penneo évalue en permanence les évolutions en matière de confidentialité et de sécurité de l’information pour garantir une conformité organisationnelle continue, y compris en matière de RGPD. L’équipe Produit et Ingénierie surveille les vulnérabilités techniques afin de s’assurer qu’elles soient corrigées rapidement et efficacement. Penneo collabore avec des testeurs externes de pénétration de sécurité, une fois par an, pour détecter les vulnérabilités de la/des Plateforme(s).

Conditions Générales et Annexe sur le traitement des données, Vers. 6.0.1. – Mis à jour : 6 janvier 2025