Data Processing Agreement

Le présent Accord de traitement des données personnelles est conclu entre: Le Client, personne morale ou professionnel ayant souscrit une Offre YachtFlow et agissant, pour les traitements concernés, en qualité de responsable du traitement, ci-après désigné le « Responsable du traitement» ou le « Client»

Et: CKC-Net, société à responsabilité limitée au capital social de 100 000 euros, dont le siège social est situé 1208 route des Lucioles, bâtiment 2B, Espace Beethoven, 06560 Valbonne, immatriculée au Registre du commerce et des sociétés de Grasse sous le numéro 452 308950, numéro SIRET 452 308 950 00073, société éditrice et exploitante de la plateforme SaaS YachtFlow, agissant en qualité de sous-traitant, ci-après désignée le « Sous-traitant» ou « CKC-Net».

Le Client et CKC-Net sont ci-après désignés individuellement une « Partie» et collectivement les « Parties».

Le présent Accord de traitement des données personnelles, ci-après le « DPA», complète les Conditions Générales de Vente de YachtFlow et fait partie intégrante du contrat conclu entre CKC-Net et le Client lors de la souscription en ligne au Service.

Il a pour objet de définir les conditions dans lesquelles CKC-Net traite des données à caractère personnel pour le compte du Client dans le cadre de la fourniture, de l’hébergement, de l’exploitation, de la maintenance, de la sécurisation et du support de la plateforme YachtFlow.

Le présent DPA encadre les droits et obligations respectifs des Parties conformément au Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, ci-après le « RGPD», notamment son article 28, ainsi qu’aux dispositions nationales applicables en matière de protection des données personnelles.

• Dans le cadre des traitements régis par le présent DPA:
• le Client détermine les finalités et les moyens essentiels des traitements effectués au moyen de YachtFlow et agit en qualité de Responsable du traitement;
• CKC-Net traite les données à caractère personnel pour le compte du Client, conformément à ses instructions documentées, et agit en qualité de Sous-traitant.

Le présent DPA s’applique à l’ensemble des traitements de données à caractère personnel réalisés par CKC-Net pour le compte du Client dans le cadre du Service, y compris lorsque ces traitements sont réalisés par des sous-traitants ultérieurs autorisés conformément aux dispositions du présent DPA.

Les traitements pour lesquels CKC-Net détermine elle-même les finalités et les moyens, notamment ceux relatifs à la gestion de la souscription, de la facturation, de la relation commerciale, de la sécurité de ses propres systèmes, au respect de ses obligations légales ou à la gestion de ses communications, ne relèvent pas du présent DPA.

Pour ces traitements, CKC-Net agit en qualité de responsable du traitement distinct et les modalités applicables sont précisées dans la Politique de confidentialité de YachtFlow.

Les caractéristiques détaillées des traitements réalisés pour le compte du Client, notamment leur objet, leur durée, leur nature, leurs finalités, les catégories de données traitées et les catégories de personnes concernées, sont précisées dans les annexes au présent DPA.

En cas de contradiction entre le présent DPA et les Conditions Générales de Vente sur une question relative au traitement de données à caractère personnel pour le compte du Client, les dispositions du présent DPA prévalent.

• Dans le cadre des traitements de données à caractère personnel réalisés au moyen de la plateforme YachtFlow:
• Le Client agit en qualité de Responsable du traitement au sens de l’article 4 du RGPD.

À ce titre, il détermine les finalités poursuivies ainsi que les moyens essentiels des traitements qu’il met en œuvre au travers de la plateforme.

Il est notamment responsable de la licéité des traitements, de l’information des personnes concernées, de la détermination de la durée de conservation des données, de la définition des droits d’accès attribués à ses utilisateurs ainsi que du respect de l’ensemble des obligations qui lui incombent en application du RGPD.

• CKC-Net agit exclusivement en qualité de Sous-traitant au sens de l’article 4 du RGPD lorsqu’elle traite des données à caractère personnel pour le compte du Client dans le cadre de la fourniture de YachtFlow.

CKC-Net s’engage à ne traiter les données personnelles que sur instruction documentée du Client, sauf obligation légale contraire qui lui serait applicable.

Les Parties reconnaissent que CKC-Net agit, en revanche, en qualité de Responsable du traitement indépendant pour les traitements de données qu’elle réalise pour ses propres besoins, notamment ceux relatifs à la gestion de la relation contractuelle, de la facturation, de la comptabilité, de la sécurité de ses systèmes d’information, de la lutte contre la fraude, du respect de ses obligations légales ou réglementaires, ainsi que de la gestion de ses activités internes.

Ces traitements ne relèvent pas du présent DPA et sont décrits dans la Politique de confidentialité de YachtFlow.

Le présent Accord ne confère à CKC-Net aucun pouvoir de décision sur les finalités poursuivies par le Client ni sur les moyens essentiels des traitements réalisés pour son compte.

CKC-Net intervient exclusivement dans les limites des services souscrits et des instructions documentées communiquées par le Client.

Le Client garantit que les instructions qu’il adresse à CKC-Net sont conformes au RGPD et à toute réglementation applicable.

Si CKC-Net estime qu’une instruction est manifestement contraire à la réglementation applicable, elle en informe le Client sans être tenue d’exécuter cette instruction tant que celle-ci n’a pas été clarifiée ou modifiée.

Le présent Accord couvre l’ensemble des traitements de données à caractère personnel réalisés par CKC-Net pour le compte du Client dans le cadre de la fourniture, de l’exploitation, de la maintenance et de l’évolution de la plateforme YachtFlow.

• Les traitements réalisés par CKC-Net sont strictement limités à ceux nécessaires à l’exécution des services souscrits par le Client et comprennent notamment:
• l’hébergement des données du Client;
• le stockage et la gestion des bases de données;
• la sauvegarde et la restauration des données;
• la sécurisation des infrastructures et des communications;
• l’authentification et la gestion des accès utilisateurs;
• la synchronisation des données entre les différents modules de la plateforme;
• l’exécution des fonctionnalités métier de YachtFlow;
• les traitements nécessaires aux intégrations et aux API activées par le Client;
• l’envoi de notifications, courriers électroniques ou alertes générées par la plateforme
• les opérations de maintenance corrective, préventive et évolutive;
• le support technique et l’assistance aux utilisateurs;
• les opérations de journalisation (logs), de supervision, de détection d’incidents et de sécurité;
• les exports réalisés à la demande du Client;
• les opérations techniques rendues nécessaires au fonctionnement du Service ou expressément demandées par le Client dans le cadre d’une prestation distincte;
• Les traitements sont exclusivement réalisés afin de permettre:
• la fourniture du Service YachtFlow;
• le maintien en condition opérationnelle de la plateforme;
• la sécurité, la disponibilité et la résilience des infrastructures;
• l’exécution des instructions documentées du Client;
• le respect des obligations légales applicables au Sous-traitant.

CKC-Net s’interdit d’utiliser les données personnelles traitées pour le compte du Client à des fins commerciales, publicitaires, de profilage, de revente, d’entraînement de modèles d’intelligence artificielle ou pour toute autre finalité étrangère à l’exécution du présent Accord, sauf accord écrit préalable du Client ou obligation légale contraire.

• Les traitements réalisés par CKC-Net pour le compte du Client peuvent porter sur les catégories de personnes concernées suivantes, sans que cette liste soit limitative:
• les collaborateurs, salariés, dirigeants et administrateurs du Client;
• les utilisateurs autorisés de la plateforme;
• les prospects;
• les clients;
• les propriétaires de yachts;
• les brokers;
• les dirigeants, salariés, représentants et contacts des sociétés de brokerage, des

sociétés de charter et des chantiers navals.

• les équipages;
• les capitaines;
• les fournisseurs;
• les prestataires;
• les partenaires commerciaux;
• les exposants, visiteurs, invités ou participants à des événements;
• les contacts professionnels enregistrés par le Client;
• toute autre personne physique dont les données sont intégrées par le Client dans le cadre de son activité professionnelle.
• Les traitements peuvent notamment porter sur les catégories de données à caractère personnel suivantes:
• données d’identification (nom, prénom, civilité, photographie, langue, nationalité lorsque renseignée par le Client, etc.);
• coordonnées (adresse postale, adresse électronique, numéros de téléphone, site Internet);
• informations professionnelles (fonction, société, département, rôle, secteur d’activité, historique des relations commerciales);
• données relatives aux échanges et à la relation client (courriels, comptes rendus, notes, commentaires, rendez-vous, historique des interactions, tâches, opportunités commerciales);
• données relatives aux yachts, aux projets, aux transactions ou aux opérations lorsqu’elles permettent d’identifier directement ou indirectement une personne physique;
• documents importés par le Client (contrats, devis, factures, pièces administratives, photographies, plans, certificats, documents techniques ou commerciaux);
• données de connexion et d’utilisation (identifiants, journaux de connexion, adresses IP, horodatages, informations de sécurité et traces techniques);
• données générées dans le cadre de l’utilisation des fonctionnalités de YachtFlow (notifications, historiques, commentaires, activités, workflows, exports, intégrations, API, etc.);
• toute autre donnée à caractère personnel librement importée, créée ou renseignée par le Client ou ses Utilisateurs dans le cadre de l’utilisation de la plateforme.

Le Client s’engage à ne traiter, au moyen de YachtFlow, que les données à caractère personnel nécessaires à ses activités professionnelles et conformes aux finalités qu’il a déterminées en qualité de Responsable du traitement.

Sauf accord exprès des Parties et mise en œuvre des garanties prévues par la réglementation applicable, YachtFlow n’est pas destiné au traitement de catégories particulières de données au sens de l’article 9 du RGPD (notamment les données relatives à la santé, aux opinions politiques, aux convictions religieuses ou philosophiques, à l’origine raciale ou ethnique, à la vie sexuelle ou à l’orientation sexuelle), ni de données relatives aux condamnations pénales et infractions visées à l’article 10 du RGPD.

Si le Client décide néanmoins d’en traiter, il en assume l’entière responsabilité et veille à disposer des bases légales et garanties appropriées.

CKC-Net En sa qualité de Sous-traitant, CKC-Net s’engage à respecter l’ensemble des obligations qui lui incombent en vertu du Règlement (UE) 2016/679 (RGPD) et, plus particulièrement, à: 5.1 Traitement sur instruction Traiter conformément aux instructions documentées du Client, y compris celles résultant de l’utilisation normale du Service et des fonctionnalités activées par le Client, y compris en ce qui concerne les éventuels transferts de données vers un pays tiers ou une organisation internationale, sauf si CKC-Net y est tenue en vertu d’une obligation légale applicable.

Dans ce cas, CKC-Net informe le Client avant le traitement, sauf si la loi l’interdit pour des motifs d’intérêt public. 5.2 Confidentialité Veiller à ce que toute personne autorisée à traiter des données à caractère personnel soit soumise à une obligation légale ou contractuelle appropriée de confidentialité et n’accède aux données que dans la mesure nécessaire à l’exécution de ses missions. 5.3 Sécurité Mettre en œuvre et maintenir des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques présentés par les traitements réalisés, conformément à l’article 32 du RGPD.

• Ces mesures comprennent notamment, lorsque cela est approprié compte tenu de la nature des traitements et des risques identifiés:
• le chiffrement des communications;
• la protection des accès aux systèmes d’information;
• le cloisonnement logique des données des Clients;
• des sauvegardes régulières;
• la journalisation des accès sensibles;
• la supervision des infrastructures;
• les mises à jour de sécurité;
• les procédures de restauration après incident;
• des mesures destinées à préserver la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes.

5.4 Assistance au Client Dans la mesure où cela est raisonnablement possible et compte tenu de la nature des traitements réalisés ainsi que des informations dont CKC-Net dispose, celle-ci assiste le Client afin de lui permettre de satisfaire à ses obligations au titre du RGPD.

Cette assistance peut notamment consister à fournir les informations techniques relatives au fonctionnement de YachtFlow, aux mesures de sécurité mises en œuvre, aux modalités d’hébergement, aux sous-traitants ultérieurs ou à tout autre élément utile permettant au Client de respecter ses propres obligations réglementaires.

Lorsque le Client sollicite une prestation d’accompagnement spécifique, notamment pour la réalisation d’une analyse d’impact relative à la protection des données (AIPD/DPIA), la préparation de documents de conformité, un audit, une expertise ou toute mission de conseil dépassant le fonctionnement normal du Service, cette intervention fait l’objet d’une prestation distincte pouvant être facturée sur devis après accord préalable du Client. 5.5 Notification des violations de données CKC-Net notifie au Client, dans les meilleurs délais après en avoir eu connaissance, toute violation de données à caractère personnel affectant les données traitées pour son compte.

• Cette notification comprend, dans la mesure où ces informations sont raisonnablement disponibles:
• la nature de l’incident;
• les catégories de données concernées;
• les conséquences connues ou présumées;
• les mesures déjà mises en œuvre ou envisagées afin de remédier à l’incident et d’en limiter les effets.

5.6 Coopération CKC-Net coopère de bonne foi avec le Client afin de lui permettre de respecter ses obligations légales en matière de protection des données personnelles, dans les limites de la nature des services fournis et des informations dont elle dispose. 5.7 Documentation et conformité CKC-Net tient à disposition les informations raisonnablement nécessaires permettant au Client de démontrer le respect des obligations mises à la charge du Sous-traitant par l’article 28 du RGPD.

Lorsque la réglementation l’exige, CKC-Net tient un registre des catégories d’activités de traitement réalisées pour le compte de ses Clients.

• 5.8 Interdiction d’utilisation des données CKC-Net s’interdit:
• d’utiliser les données personnelles pour son propre compte;
• de les vendre, louer ou céder à des tiers;
• de les exploiter à des fins commerciales ou publicitaires;
• de les utiliser pour entraîner des modèles d’intelligence artificielle ou tout autre système d’apprentissage automatique;
• de les traiter à des fins autres que celles nécessaires à l’exécution du contrat ou imposées par une obligation légale.

5.9 Personnel habilité CKC-Net veille à ce que seules les personnes strictement habilitées, en fonction de leurs missions, puissent accéder aux données personnelles traitées pour le compte du Client.

Ces accès sont limités selon le principe du moindre privilège (« least privilege») et font l’objet de mesures de contrôle appropriées.

CKC-Net met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques présentés par les traitements réalisés, conformément à l’article 32 du RGPD et aux bonnes pratiques reconnues en matière de sécurité des systèmes d’information.

• Ces mesures visent notamment à assurer:
• la confidentialité des données;
• leur intégrité;
• leur disponibilité;
• leur résilience face aux incidents techniques ou de sécurité.
• À cette fin, CKC-Net peut notamment mettre en œuvre, lorsque cela est approprié au regard de l’état de l’art, des coûts de mise en œuvre, de la nature des traitements et des risques identifiés:
• le chiffrement des communications entre les utilisateurs et la plateforme (HTTPS/TLS);
• des mécanismes d’authentification et de contrôle des accès;
• une gestion des habilitations fondée sur les droits attribués aux utilisateurs;
• un cloisonnement logique des données entre les différents Clients;
• des sauvegardes régulières des infrastructures et des données nécessaires à la continuité du Service;
• des dispositifs de supervision, de surveillance et de journalisation des systèmes;
• une politique de mises à jour de sécurité et de correction des vulnérabilités;
• des procédures internes de gestion des incidents et de continuité d’activité;
• des mesures destinées à protéger les infrastructures d’hébergement contre les accès non autorisés.

Ces mesures sont susceptibles d’évoluer au cours du temps afin de tenir compte de l’évolution des risques, des technologies, des bonnes pratiques du secteur et des exigences réglementaires.

CKC-Net demeure libre d’adapter ou de remplacer les mesures de sécurité mises en œuvre, sous réserve de maintenir un niveau de protection global au moins équivalent.

Pour des raisons de sécurité, CKC-Net ne communique pas publiquement le détail de l’ensemble des dispositifs techniques mis en œuvre, lorsque cette divulgation serait susceptible d’en compromettre l’efficacité.

Le Client autorise de manière générale CKC-Net à recourir à des sous-traitants ultérieurs lorsque cela est nécessaire à la fourniture, à la sécurisation, à la maintenance ou à l’amélioration du Service YachtFlow.

• Ces sous-traitants peuvent notamment intervenir pour des prestations relatives à:
• l’hébergement des infrastructures;
• les services cloud;
• les sauvegardes;
• la supervision des systèmes;
• la sécurité informatique;
• les services de messagerie électronique;
• les notifications;
• le traitement des paiements;
• les services de communication;
• les outils de support;
• les services d’analyse technique et de surveillance;
• ou toute autre prestation technique nécessaire au fonctionnement normal de la

plateforme.

CKC-Net veille à sélectionner des sous-traitants présentant des garanties suffisantes en matière de sécurité, de confidentialité et de conformité au RGPD.

Chaque sous-traitant ultérieur est lié à CKC-Net par un contrat imposant des obligations de protection des données personnelles au moins équivalentes à celles prévues par le présent Accord, conformément à l’article 28 du RGPD.

CKC-Net demeure pleinement responsable, à l’égard du Client, de l’exécution des obligations confiées à ses sous-traitants ultérieurs dans les limites prévues par la réglementation applicable.

La liste des principales catégories de sous-traitants utilisés ainsi que, le cas échéant, leurs localisations ou les informations utiles les concernant, peuvent être mises à la disposition du Client sur simple demande ou au travers de la documentation de YachtFlow.

CKC-Net se réserve le droit de remplacer, d’ajouter ou de supprimer un sous-traitant lorsque cela est nécessaire à l’évolution du Service, à condition de maintenir un niveau de protection des données au moins équivalent à celui prévu par le présent Accord.

Dans la mesure du possible, les données à caractère personnel traitées dans le cadre de YachtFlow sont hébergées et traitées au sein de l’Espace économique européen (EEE).

Toutefois, certaines prestations techniques ou certains sous-traitants ultérieurs peuvent impliquer un transfert de données à caractère personnel vers un pays situé en dehors de l’Espace économique européen.

• Dans une telle hypothèse, CKC-Net veille à ce que ces transferts reposent sur un mécanisme reconnu par le RGPD garantissant un niveau de protection approprié des données, notamment:
• une décision d’adéquation adoptée par la Commission européenne;
• les Clauses Contractuelles Types (Standard Contractual Clauses – SCC) approuvées par la Commission européenne;
• des règles d’entreprise contraignantes (Binding Corporate Rules – BCR), lorsque celles-ci sont applicables;
• ou tout autre mécanisme de transfert autorisé par la réglementation en vigueur.

Lorsque la réglementation l’exige, CKC-Net s’assure également que des mesures techniques, contractuelles ou organisationnelles complémentaires sont mises en œuvre afin d’assurer un niveau de protection des données essentiellement équivalent à celui garanti au sein de l’Union européenne.

Le Client reconnaît que l’utilisation volontaire de services ou d’intégrations tiers qu’il active lui-même au sein de YachtFlow peut entraîner des transferts internationaux de données relevant de sa propre responsabilité en qualité de Responsable du traitement.

CKC-Net informe le Client, dans les meilleurs délais après en avoir eu connaissance, de toute violation de données à caractère personnel susceptible d’affecter les traitements réalisés pour son compte.

• Dans la mesure des informations disponibles au moment de la notification, CKC-Net communique notamment:
• la nature de la violation de données;
• les catégories de données et de personnes concernées;
• les conséquences connues ou raisonnablement prévisibles de l’incident;
• les mesures correctives déjà mises en œuvre ou envisagées afin de remédier à la violation et d’en limiter les effets;
• tout élément utile permettant au Client d’apprécier les conséquences de l’incident et de satisfaire à ses propres obligations réglementaires.

CKC-Net complète ces informations au fur et à mesure de leur disponibilité lorsque l’ensemble des éléments ne peut être communiqué immédiatement.

Le Client demeure seul responsable, en sa qualité de Responsable du traitement, de déterminer si la violation doit être notifiée à l’autorité de contrôle compétente et, le cas échéant, aux personnes concernées, conformément aux articles 33 et 34 du RGPD.

CKC-Net coopère raisonnablement avec le Client afin de lui fournir les informations dont elle dispose et nécessaires au respect de ces obligations, dans les limites de la nature des services fournis.

Les modalités d’assistance du Sous-traitant sont celles prévues à l’article 5.4 des présentes.

Toute prestation dépassant le fonctionnement normal du Service pourra faire l’objet d’une prestation distincte, sur devis et après accord préalable du Client.

Afin de permettre au Client de satisfaire à ses obligations en matière de protection des données, CKC-Net met raisonnablement à sa disposition les informations nécessaires permettant de démontrer le respect des obligations qui lui incombent en qualité de Sous-traitant au titre du présent Accord et de l’article 28 du RGPD.

Cette démonstration s’effectue prioritairement au moyen de la documentation contractuelle de YachtFlow, des présentes dispositions, des réponses aux questionnaires raisonnables de sécurité ou de conformité, ainsi que de toute information que CKC-Net juge appropriée au regard de la demande formulée.

Les Parties reconnaissent que ces éléments constituent le mode normal de démonstration de conformité du Sous-traitant.

À titre exceptionnel, lorsqu’une obligation légale ou réglementaire impose au Client la réalisation d’un audit spécifique et qu’aucune autre modalité raisonnable ne permet de répondre à cette exigence, les Parties pourront convenir des modalités d’un audit limité.

• Dans ce cas:
• un préavis écrit d’au moins trente (30) jours devra être respecté;
• l’audit devra être strictement limité aux traitements réalisés pour le compte du Client;
• il ne devra entraîner aucune perturbation du fonctionnement de YachtFlow ou des infrastructures de CKC-Net;
• il devra respecter les obligations de confidentialité ainsi que les droits des autres Clients et partenaires de CKC-Net;
• il sera réalisé aux frais exclusifs du Client, sauf accord contraire.
• En aucun cas le Client ne pourra exiger:
• un accès au code source de YachtFlow;
• un accès aux infrastructures internes de CKC-Net;
• un accès aux environnements de développement, de préproduction ou d’administration;
• un accès aux journaux internes, outils de supervision, procédures de sécurité ou documents internes de développement;
• un accès aux données d’autres Clients;
• la réalisation de tests d’intrusion, d’analyses de vulnérabilités, de revues de code, de scans automatisés ou de toute autre intervention technique susceptible de compromettre la sécurité, la confidentialité, la disponibilité ou le bon fonctionnement du Service, sauf accord écrit préalable de CKC-Net.

CKC-Net demeure libre de déterminer les modalités les plus appropriées permettant de démontrer sa conformité, dès lors que celles-ci répondent raisonnablement aux exigences de l’article 28 du RGPD.

En aucun cas le présent article ne peut être interprété comme imposant au Sous-traitant la communication d’informations susceptibles de porter atteinte à la sécurité de ses systèmes, à ses secrets d’affaires, à ses droits de propriété intellectuelle ou à la confidentialité de ses autres Clients.

À l’expiration ou à la résiliation du contrat, le Client peut récupérer les données personnelles qu’il souhaite conserver au moyen des fonctionnalités d’export mises à sa disposition pendant la durée de son accès au Service.

Cette possibilité d’export constitue la modalité normale de restitution des données au Client.

Toute restitution nécessitant un format particulier, une restauration, un retraitement ou une intervention technique spécifique pourra faire l’objet d’une prestation distincte, sur devis et après accord préalable du Client.

À l’issue de la période de conservation prévue dans les Conditions Générales de Vente, CKC-Net supprime les données à caractère personnel traitées pour le compte du Client, sauf obligation légale ou réglementaire imposant leur conservation.

Les données pourront subsister temporairement dans les sauvegardes techniques jusqu’à l’expiration de leur cycle normal de rétention, sans être remises en production sauf nécessité technique, obligation légale ou impératif de sécurité.

Le Client demeure responsable d’effectuer, avant la fin de son abonnement ou avant l’expiration de la période de conservation prévue aux CGV, les exports des données qu’il souhaite conserver.

Sauf obligation légale contraire, CKC-Net ne pourra plus restituer les données après leur suppression définitive.

Les modalités détaillées relatives à la conservation, à l’export, à la récupération et à la suppression des données sont celles prévues à l’article « Cycle de vie des données» des Conditions Générales de Vente de YachtFlow, auquel le présent Accord renvoie expressément.

CKC-Net s’engage à préserver la confidentialité des données à caractère personnel traitées pour le compte du Client et à ne les utiliser que dans la mesure nécessaire à l’exécution des services prévus par le présent Accord et les Conditions Générales de Vente de YachtFlow.

Seules les personnes dûment habilitées par CKC-Net, dont l’accès est nécessaire à l’exécution de leurs missions, peuvent accéder aux données du Client.

Ces personnes sont soumises à une obligation légale ou contractuelle de confidentialité appropriée.

CKC-Net veille également à ce que ses éventuels sous-traitants ultérieurs soient soumis à des obligations de confidentialité et de protection des données au moins équivalentes à celles prévues par le présent Accord.

Les données du Client ne sont ni vendues, ni louées, ni communiquées à des tiers à des fins commerciales.

Elles ne sont utilisées qu’aux seules fins de l’exécution du contrat, sauf obligation légale ou réglementaire imposant un traitement différent.

Les obligations de confidentialité demeurent applicables pendant toute la durée de la relation contractuelle et aussi longtemps que CKC-Net ou ses Sous-traitants ultérieurs conservent des données à caractère personnel traitées pour le compte du Client.

Pour les autres informations confidentielles, elles demeurent applicables pendant cinq (5) ans après la cessation du contrat, sauf obligation légale imposant une durée supérieure.

Chaque Partie demeure responsable des obligations qui lui incombent en vertu de la réglementation applicable en matière de protection des données personnelles, et notamment du Règlement (UE) 2016/679 (RGPD).

Le Client demeure seul responsable des traitements qu’il met en œuvre au moyen de YachtFlow, de la licéité des données qu’il collecte et traite, de l’information des personnes concernées, de la détermination des finalités des traitements ainsi que du respect de l’ensemble des obligations lui incombant en qualité de Responsable du traitement.

CKC-Net est responsable des seules obligations qui lui incombent en qualité de Sous-traitant, dans les limites prévues par le présent Accord, les Conditions Générales de Vente de YachtFlow et les dispositions impératives du RGPD.

Sous réserve des dispositions impératives de la réglementation applicable, les limitations et exclusions de responsabilité prévues dans les Conditions Générales de Vente de YachtFlow s’appliquent au présent Accord de traitement des données.

Aucune disposition du présent Accord ne saurait avoir pour objet ou pour effet de limiter ou d’exclure une responsabilité qui ne pourrait légalement être écartée en vertu du RGPD ou de toute autre disposition légale impérative applicable.

Le présent Accord de traitement des données (« DPA») est régi par le droit français.

Il constitue une annexe contractuelle indissociable des Conditions Générales de Vente de YachtFlow et doit être interprété conjointement avec celles-ci.

En cas de contradiction entre le présent Accord et les Conditions Générales de Vente, le présent Accord prévaut pour les questions relatives au traitement de données à caractère personnel pour le compte du Client.

Tout différend relatif à l’interprétation, à l’exécution ou à la validité du présent Accord est soumis aux mêmes règles de compétence juridictionnelle que celles prévues dans les Conditions Générales de Vente de YachtFlow, sous réserve des dispositions légales impératives applicables.

Annexe A – Description des traitements

Les traitements réalisés par CKC-Net ont exclusivement pour objet de permettre la fourniture, l’exploitation, la maintenance et la sécurisation de la plateforme SaaS YachtFlow au bénéfice du Client.

Nature des opérations: collecte par saisie ou import, enregistrement, organisation, structuration, hébergement, conservation, consultation, modification, extraction, export, transmission selon les fonctionnalités activées, sauvegarde, restauration, journalisation et suppression.

• Les traitements peuvent notamment avoir pour finalité:
• la création et l’administration des comptes utilisateurs;
• l’hébergement des données du Client;
• la gestion des accès et des droits utilisateurs;
• la sauvegarde et la restauration des données;
• la maintenance corrective, préventive et évolutive de la plateforme;
• la sécurisation des infrastructures et la détection des incidents de sécurité;
• la journalisation technique nécessaire au bon fonctionnement du Service;
• l’assistance et le support technique;
• l’exécution des fonctionnalités proposées par YachtFlow, y compris les API et les

intégrations activées par le Client.

• Les données traitées peuvent concerner notamment:
• les administrateurs du Client;
• les utilisateurs autorisés de la plateforme;
• les collaborateurs du Client;
• les prospects, clients, fournisseurs, partenaires et contacts professionnels enregistrés par le Client;
• toute autre catégorie de personnes concernées dont les données sont importées par le Client dans le cadre de ses activités.

• Selon l’utilisation de YachtFlow par le Client, les données traitées peuvent notamment comprendre:
• données d’identification;
• coordonnées professionnelles;
• données relatives aux sociétés, aux contacts et aux activités commerciales;
• documents, fichiers, photographies et contenus importés;
• données de connexion, journaux techniques et métadonnées;
• toute autre donnée que le Client décide d’intégrer dans la plateforme.

CKC-Net ne détermine ni la nature, ni le contenu, ni les finalités des données importées par le Client.

Les données sont traitées pendant toute la durée du contrat, puis conservées et supprimées conformément aux durées et modalités prévues par les Conditions Générales de Vente de YachtFlow, notamment au titre du cycle de vie des données.

Annexe B – Mesures techniques et organisationnelles CKC-Net met en œuvre des mesures techniques et organisationnelles appropriées afin d’assurer un niveau de sécurité adapté aux risques présentés par les traitements réalisés dans le cadre de YachtFlow.

• Selon la nature des traitements et les risques identifiés, les mesures mises en œuvre comprennent notamment:
• chiffrement des communications au moyen des protocoles HTTPS/TLS;
• authentification des utilisateurs et gestion des habilitations selon les droits attribués;
• cloisonnement logique des données entre les différents Clients;
• sauvegardes régulières destinées à assurer la continuité du Service;
• supervision technique des infrastructures et journalisation des événements de

sécurité;

• mises à jour régulières des composants logiciels et correctifs de sécurité;
• protection des infrastructures d’hébergement contre les accès non autorisés;
• procédures internes de gestion des incidents de sécurité;
• limitation des accès aux données aux seules personnes autorisées dans le cadre de leurs missions;
• engagement de confidentialité des collaborateurs et prestataires autorisés;
• révision périodique des mesures de sécurité en fonction de l’évolution des risques et des bonnes pratiques.

Les présentes mesures sont susceptibles d’évoluer afin de maintenir un niveau de sécurité approprié.

CKC-Net pourra les adapter ou les renforcer sans qu’il soit nécessaire de modifier formellement le présent Accord, sous réserve que le niveau global de protection ne soit pas diminué.