ANNEX No. 4 aux conditions d'utilisation : Clauses contractuelles types

MODULE QUATRE : Transfert d'un sous-traitant à un responsable du traitement

En vigueur à partir du 30 septembre 2026 | Voir une version précédente des clauses contractuelles types | Comparer les différences

En complément des Modalités, les présentes Clauses contractuelles types (intégrant les clauses contractuelles types de la Commission européenne (2021/914/UE)), telles qu'énoncées ci-dessous, s'appliquent, sans qu'il soit nécessaire de procéder à une signature supplémentaire, si les Parties sont tenues de les conclure dans le cadre de la fourniture de Services liés à l'achat ou à l'obtention d'un Abonnement, et dans la mesure où il existe un transfert de données personnelles vers une entité située dans un pays tiers situé hors de l'Espace économique européen ou non reconnu comme adéquat par une décision de la Commission européenne (importateur de données).

Sauf disposition contraire d'une clause particulière des présentes clauses contractuelles types, tous les termes commençant par une majuscule qui y figurent ont le sens qui leur est donné dans les Conditions et leur Annexe 3 – Contrat de traitement de données (le « Contrat de traitement de données »).

SECTION I

Clause 1 Objet et portée

(a) Les présentes clauses contractuelles types ont pour objet de garantir le respect des exigences du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données personnelles et à la libre circulation de ces données (Règlement général sur la protection des données) (1) pour le transfert de données personnelles vers un pays tiers.

(b) Les Parties :

(i) la ou les personnes physiques ou morales, la ou les autorités publiques, la ou les agences ou tout autre organisme (ci-après « entité(s) ») qui transfèrent les données personnelles, dont la liste figure à l'annexe I.A (ci-après, chacune désignée « exportateur de données »), et

(ii) la ou les entités situées dans un pays tiers qui reçoivent les données personnelles de l'exportateur de données, directement ou indirectement par l'intermédiaire d'une autre entité également partie aux présentes clauses, telles qu'énumérées à l'annexe I.A (ci-après dénommée individuellement l'« importateur de données »)

ont accepté les présentes clauses contractuelles types (ci-après : « Clauses »).

(c) Les présentes clauses s'appliquent au transfert de données personnelles tel que précisé à l'annexe I.B.

(d) L'appendice aux présentes Clauses, qui contient les Annexes auxquelles il y est fait référence, fait partie intégrante des présentes Clauses.

Clause 2 Effet et invariabilité des clauses

(a) Les présentes Clauses établissent des garanties appropriées, y compris des droits opposables pour les personnes concernées et des recours juridiques effectifs, conformément à l'article 46, paragraphe 1, et à l'article 46, paragraphe 2, point c), du règlement (UE) 2016/679 et, en ce qui concerne les transferts de données des responsables du traitement vers les sous-traitants et/ou des sous-traitants vers d'autres sous-traitants, des clauses contractuelles types conformément à l'article 28, paragraphe 7, du règlement (UE) 2016/679, à condition qu'elles ne soient pas modifiées, sauf pour sélectionner le ou les modules appropriés ou pour ajouter ou mettre à jour des renseignements dans l'Appendice. Cela n'empêche pas les Parties d'inclure les clauses contractuelles types énoncées dans les présentes Clauses dans un contrat plus large et/ou d'ajouter d'autres clauses ou des garanties supplémentaires, à condition que celles-ci ne contredisent pas, directement ou indirectement, les présentes Clauses ni ne portent atteinte aux droits ou libertés fondamentaux des personnes concernées.

(b) Les présentes Clauses s'entendent sans préjudice des obligations auxquelles l'exportateur de données est soumis en vertu du Règlement (UE) 2016/679.

Clause 3 : Tiers bénéficiaire

(a) Les personnes concernées peuvent invoquer et faire appliquer les présentes clauses, en tant que tiers bénéficiaires, à l'encontre de l'exportateur de données et/ou de l'importateur de données, sous réserve des exceptions suivantes :

(i) Clause 1, Clause 2, Clause 3, Clause 6, Clause 7;

(ii) Clause 8 – Module Un : Clause 8.5 (e) et clause 8.9(b); Module deux : Clause 8.1(b), 8.9(a), (c), (d) et (e); Module Trois : Clause 8.1(a), (c) et (d) et clause 8.9(a), (c), (d), (e), (f) et (g); Module Quatre : Clause 8.1 b) et clause 8.3 b);

(iii) Clause 9 – Module Deux : Clause 9a), c), d) et e); Module trois : Clause 9a), c), d) et e);

(iv) Clause 12 – Module Un : Clause 12(a) et (d); Modules deux et trois : Clause 12(a), (d) et (f);

(v) l'article 13;

(vi) Clause 15.1(c), (d) et (e);

(vii) l'article 16e);

(viii) Clause 18 – Modules un, deux et trois : Clause 18(a) et (b); Module quatre : Article 18.

(b) L'alinéa (a) s'applique sans préjudice des droits des personnes concernées en vertu du Règlement (UE) 2016/679.

Clause 4 Interprétation

(a) Lorsque les présentes clauses emploient des termes définis dans le Règlement (UE) 2016/679, ces termes ont la même signification que dans ledit Règlement.

(b) Les présentes clauses doivent être lues et interprétées à la lumière des dispositions du Règlement (UE) 2016/679.

(c) Les présentes clauses ne doivent pas être interprétées d'une manière qui serait contraire aux droits et obligations prévus dans le Règlement (UE) 2016/679.

Clause 5 Hiérarchie

En cas de contradiction entre les présentes Clauses et les dispositions d'accords connexes conclus entre les Parties, existant au moment où les présentes Clauses sont convenues ou conclus ultérieurement, les présentes Clauses prévalent.

Clause 6 Description du ou des transferts

Les détails du ou des transferts, et en particulier les catégories de données personnelles transférées ainsi que la ou les finalités pour lesquelles elles sont transférées, sont précisés à l'annexe I.B.

Clause 7 Clause d'amarrage facultative

(a) Une entité qui n'est pas partie aux présentes clauses peut, avec l'accord des parties, adhérer aux présentes clauses à tout moment, soit en tant qu'exportateur de données, soit en tant qu'importateur de données, en remplissant l'appendice et en signant l'annexe I.A.

(b) Une fois qu'elle a rempli l'Appendice et signé l'Annexe I.A, l'entité adhérente devient Partie aux présentes Clauses et dispose des droits et obligations d'un exportateur de données ou d'un importateur de données conformément à sa désignation à l'Annexe I.A.

(c) L'entité adhérente n'a aucun droit ni aucune obligation découlant des présentes Clauses pour la période antérieure à son adhésion en tant que Partie.

SECTION II – OBLIGATIONS DES PARTIES

Clause 8 Garanties de protection des données

L'exportateur de données garantit qu'il a déployé des efforts raisonnables pour déterminer que l'importateur de données est en mesure, par la mise en œuvre de mesures techniques et organisationnelles appropriées, de satisfaire à ses obligations au titre des présentes clauses.

8.1 Directives

(a) L'exportateur de données ne traite les données personnelles que sur instructions documentées de l'importateur de données agissant en tant que responsable du traitement.

b) L'exportateur de données informe immédiatement l'importateur de données s'il n'est pas en mesure de suivre ces instructions, y compris si ces instructions enfreignent le règlement (UE) 2016/679 ou une autre législation de l'Union ou d'un État membre relative à la protection des données.

(c) L'importateur de données s'abstient de toute action qui empêcherait l'exportateur de données de remplir ses obligations en vertu du Règlement (UE) 2016/679, y compris dans le contexte de la sous-traitance ultérieure ou en ce qui concerne la coopération avec les autorités de contrôle compétentes.

(d) Après la fin de la prestation des services de traitement, l'exportateur de données doit, au choix de l'importateur de données, supprimer toutes les données personnelles traitées pour le compte de l'importateur de données et certifier à ce dernier qu'il l'a fait, ou restituer à l'importateur de données toutes les données personnelles traitées pour son compte et supprimer les copies existantes.

8.2 Sécurité du traitement

(a) Les Parties mettent en œuvre des mesures techniques et organisationnelles appropriées afin d'assurer la sécurité des données, y compris pendant leur transmission, et la protection contre toute violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée de données ou l'accès non autorisé à celles-ci, de manière accidentelle ou illicite (ci-après « violation de données personnelles »). Lors de l'évaluation du niveau de sécurité approprié, ils tiennent dûment compte de l'état de la technique, des coûts de mise en œuvre, de la nature des données personnelles (2), de la nature, de la portée, du contexte et de la ou des finalités du traitement ainsi que des risques que le traitement présente pour les personnes concernées, et envisagent en particulier de recourir au chiffrement ou à la pseudonymisation, y compris lors de la transmission, lorsque la finalité du traitement peut être atteinte de cette manière.

(b) L'exportateur de données doit aider l'importateur de données à assurer une sécurité appropriée des données conformément au paragraphe (a). En cas de violation de données personnelles concernant les données personnelles traitées par l'exportateur de données en vertu des présentes clauses, l'exportateur de données doit en informer l'importateur de données sans retard injustifié après en avoir pris connaissance et aider l'importateur de données à remédier à la violation.

(c) L'exportateur de données veille à ce que les personnes autorisées à traiter les données personnelles se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

8.3 Documentation et conformité

(a) Les Parties doivent être en mesure de démontrer leur conformité aux présentes Clauses.

b) L'exportateur de données met à la disposition de l'importateur de données toutes les informations nécessaires pour démontrer le respect de ses obligations au titre des présentes clauses, et il autorise les audits et y contribue.

Clause 9 Recours à des sous-traitants ultérieurs

Sans objet pour le module concerné et la nature du transfert.

Clause 10 Droits de la personne concernée

Les Parties s'entraident pour répondre aux demandes de renseignements et aux demandes présentées par les personnes concernées en vertu du droit local applicable à l'importateur de données ou, pour le traitement de données effectué par l'exportateur de données dans l'UE, en vertu du Règlement (UE) 2016/679.

Clause 11 Recours

(a) L'importateur de données doit informer les personnes concernées, dans un format transparent et facilement accessible, par avis individuel ou sur son site Web, de l'existence d'un point de contact autorisé à traiter les plaintes. Il doit traiter rapidement toute plainte qu'il reçoit d'une personne concernée.

Clause 12 : Responsabilité

(a) Chaque Partie est responsable envers l'autre ou les autres Parties de tout dommage qu'elle cause à l'autre ou aux autres Parties du fait d'une violation des présentes Clauses.

(b) Chaque Partie est responsable envers la personne concernée, et celle-ci a le droit de recevoir une indemnisation, pour tout dommage matériel ou moral que la Partie lui cause en violant les droits de tiers bénéficiaire prévus par les présentes Clauses. Ceci s'entend sans préjudice de la responsabilité de l'exportateur de données au titre du règlement (UE) 2016/679.

(c) Lorsque plus d'une Partie est responsable d'un dommage causé à la personne concernée en raison d'une violation des présentes Clauses, toutes les Parties responsables sont solidairement responsables et la personne concernée a le droit d'intenter une action en justice contre l'une ou l'autre de ces Parties.

(d) Les Parties conviennent que si une Partie est tenue responsable en vertu de l'alinéa (c), elle aura le droit de réclamer à l'autre Partie ou aux autres Parties la part de l'indemnisation correspondant à sa ou à leur responsabilité à l'égard du dommage.

(e) L'importateur de données ne peut invoquer le comportement d'un sous-traitant ou d'un sous-traitant ultérieur pour se soustraire à sa propre responsabilité.

Article 13 Supervision

Ne s'applique pas au module concerné ni à la nature du transfert.

SECTION III – LOIS LOCALES ET OBLIGATIONS EN CAS D'ACCÈS PAR LES AUTORITÉS PUBLIQUES

Clause 14 Lois et pratiques locales ayant une incidence sur le respect des Clauses

MODULE QUATRE : Transfert du sous-traitant au responsable du traitement (lorsque le sous-traitant de l'UE combine les données personnelles reçues du responsable du traitement du pays tiers avec les données personnelles recueillies par le sous-traitant dans l'UE)

(a) Les Parties garantissent n'avoir aucune raison de croire que les lois et les pratiques en vigueur dans le pays tiers de destination applicables au traitement des données personnelles par l'importateur de données, y compris les exigences de divulgation de données personnelles ou les mesures autorisant l'accès des autorités publiques, empêchent l'importateur de données de respecter les obligations qui lui incombent au titre des présentes Clauses. Cela repose sur le principe selon lequel les lois et pratiques qui respectent l'essence des droits et libertés fondamentaux et ne vont pas au-delà de ce qui est nécessaire et proportionné dans une société démocratique pour sauvegarder l'un des objectifs énumérés à l'article 23, paragraphe 1, du Règlement (UE) 2016/679 ne sont pas en contradiction avec les présentes clauses.

(b) Les Parties déclarent qu'en fournissant la garantie prévue au paragraphe (a), elles ont dûment tenu compte, en particulier, des éléments suivants :

(i) les circonstances particulières du transfert, y compris la longueur de la chaîne de traitement, le nombre d'acteurs concernés et les canaux de transmission utilisés; les transferts ultérieurs prévus; le type de destinataire; la finalité du traitement; les catégories et le format des données personnelles transférées; le secteur économique dans lequel le transfert a lieu; le lieu de stockage des données transférées;

(ii) les lois et pratiques du pays tiers de destination – y compris celles exigeant la divulgation de données aux autorités publiques ou autorisant l'accès à ces autorités – pertinentes à la lumière des circonstances particulières du transfert, ainsi que les limitations et garanties applicables (3);

(iii) toute garantie contractuelle, technique ou organisationnelle pertinente mise en place pour compléter les garanties prévues par les présentes Clauses, y compris les mesures appliquées lors de la transmission et au traitement des données personnelles dans le pays de destination.

(c) L'importateur de données garantit que, dans le cadre de l'évaluation prévue à l'alinéa (b), il a déployé tous les efforts raisonnables pour fournir à l'exportateur de données les informations pertinentes et accepte de continuer à coopérer avec l'exportateur de données afin d'assurer le respect des présentes clauses.

(d) Les Parties conviennent de documenter l'évaluation prévue au paragraphe (b) et de la mettre à la disposition de l'autorité de surveillance compétente sur demande.

(e) L'importateur de données s'engage à informer rapidement l'exportateur de données si, après avoir accepté les présentes Clauses et pendant la durée du contrat, il a des raisons de croire qu'il est ou est devenu soumis à des lois ou à des pratiques non conformes aux exigences prévues au paragraphe (a), y compris à la suite d'une modification des lois du pays tiers ou d'une mesure (telle qu'une demande de divulgation) indiquant une application de ces lois dans la pratique qui n'est pas conforme aux exigences du paragraphe (a).

(f) À la suite d'une notification effectuée conformément au paragraphe (e), ou si l'exportateur de données a par ailleurs des raisons de croire que l'importateur de données n'est plus en mesure de remplir ses obligations au titre des présentes clauses, l'exportateur de données détermine rapidement les mesures appropriées (p. ex. des mesures techniques ou organisationnelles visant à garantir la sécurité et la confidentialité) que devront adopter l'exportateur de données et/ou l'importateur de données pour remédier à la situation. L'exportateur de données doit suspendre le transfert de données s'il estime qu'aucune garantie appropriée ne peut être assurée pour un tel transfert, ou si l'autorité de contrôle compétente lui en donne l'instruction. Dans ce cas, l'exportateur de données est en droit de résilier le contrat, dans la mesure où celui-ci concerne le traitement de données personnelles au titre des présentes clauses. Si le contrat fait intervenir plus de deux Parties, l'exportateur de données ne peut exercer ce droit de résiliation qu'à l'égard de la Partie concernée, sauf accord contraire des Parties. Lorsque le contrat est résilié en vertu de la présente clause, les clauses 16(d) et (e) s'appliquent.

Clause 15 Obligations de l'importateur de données en cas d'accès par les autorités publiques

MODULE QUATRE : Transfert sous-traitant à responsable du traitement (lorsque le sous-traitant de l'UE combine les données personnelles reçues du responsable du traitement du pays tiers avec les données personnelles recueillies par le sous-traitant dans l'UE)

15.1 Notification

(a) L'importateur de données accepte d'informer l'exportateur de données et, dans la mesure du possible, la personne concernée dans les meilleurs délais (si nécessaire avec l'aide de l'exportateur de données) s'il :

(i) reçoit une demande juridiquement contraignante d'une autorité publique, y compris des autorités judiciaires, en vertu des lois du pays de destination, visant la divulgation de données personnelles transférées en application des présentes Clauses; cette notification comprend des renseignements sur les données personnelles demandées, l'autorité requérante, le fondement juridique de la demande et la réponse fournie; ou

(ii) prend connaissance de tout accès direct des autorités publiques à des données personnelles transférées en application des présentes clauses, conformément au droit du pays de destination; cette notification comprend toutes les informations dont dispose l'importateur.

(b) Si l'importateur de données se voit interdire d'informer l'exportateur de données et/ou la personne concernée en vertu des lois du pays de destination, l'importateur de données accepte de déployer tous les efforts raisonnables pour obtenir la levée de cette interdiction, en vue de communiquer le plus d'informations possible, dans les plus brefs délais. L'importateur de données accepte de documenter ses efforts raisonnables afin de pouvoir en faire la preuve à la demande de l'exportateur de données.

(c) Lorsque les lois du pays de destination le permettent, l'importateur de données accepte de fournir à l'exportateur de données, à intervalles réguliers pendant toute la durée du contrat, le plus d'informations pertinentes possible sur les demandes reçues (en particulier, le nombre de demandes, le type de données demandées, la ou les autorités requérantes, le fait que les demandes aient été contestées ou non et l'issue de ces contestations, etc.).

(d) L'importateur de données accepte de conserver les informations conformément aux paragraphes (a) à (c) pendant la durée du contrat et de les mettre à la disposition de l'autorité de contrôle compétente sur demande.

(e) Les paragraphes (a) à (c) sont sans préjudice de l'obligation de l'importateur de données, en vertu de la clause 14(e) et de la clause 16, d'informer sans délai l'exportateur de données lorsqu'il n'est pas en mesure de se conformer aux présentes clauses.

15.2 Examen de la légalité et minimisation des données

a) L'importateur de données accepte d'examiner la légalité de la demande de divulgation, en particulier si celle-ci demeure dans les limites des pouvoirs conférés à l'autorité publique requérante, et de contester la demande si, après une évaluation attentive, il conclut qu'il existe des motifs raisonnables de considérer que la demande est illicite au regard des lois du pays de destination, des obligations applicables en vertu du droit international et des principes de courtoisie internationale. L'importateur de données exerce, dans les mêmes conditions, les possibilités de recours. Lorsqu'il conteste une demande, l'importateur de données doit demander des mesures provisoires en vue de suspendre les effets de la demande jusqu'à ce que l'autorité judiciaire compétente ait statué sur le fond. Il ne divulguera pas les données personnelles demandées tant qu'il n'y sera pas tenu en vertu des règles de procédure applicables. Ces exigences sont sans préjudice des obligations de l'importateur de données en vertu de la clause 14(e).

b) L'importateur de données accepte de documenter son appréciation juridique ainsi que toute contestation de la demande de divulgation et, dans la mesure où le droit du pays de destination le permet, de mettre cette documentation à la disposition de l'exportateur de données. Il doit également le mettre à la disposition de l'autorité de contrôle compétente sur demande.

c) L'importateur de données accepte de fournir la quantité minimale de renseignements permise lorsqu'il répond à une demande de divulgation, sur la base d'une interprétation raisonnable de la demande.

SECTION IV – DISPOSITIONS FINALES

Clause 16 Non-respect des clauses et résiliation

a) L'importateur de données informe rapidement l'exportateur de données s'il n'est pas en mesure de respecter les présentes clauses, quelle qu'en soit la raison.

(b) Dans le cas où l'importateur de données contrevient aux présentes clauses ou est incapable de s'y conformer, l'exportateur de données suspend le transfert de données personnelles vers l'importateur de données jusqu'à ce que la conformité soit à nouveau assurée ou que le contrat soit résilié. Cela est sans préjudice de la clause 14(f).

(c) L'exportateur de données a le droit de résilier le contrat, dans la mesure où celui-ci concerne le traitement de données personnelles au titre des présentes clauses, lorsque :

(i) l'exportateur de données a suspendu le transfert de données personnelles vers l'importateur de données en vertu du paragraphe (b) et le respect des présentes clauses n'est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d'un mois à compter de la suspension;

(ii) l'importateur de données viole de manière substantielle ou persistante les présentes clauses; ou

(iii) l'importateur de données ne respecte pas une décision contraignante d'une juridiction compétente ou d'une autorité de contrôle concernant ses obligations au titre des présentes clauses.

Dans ces cas, elle informe l'autorité de surveillance compétente de cette non-conformité. Lorsque le contrat fait intervenir plus de deux Parties, l'exportateur de données ne peut exercer ce droit de résiliation qu'à l'égard de la Partie concernée, sauf si les Parties en ont convenu autrement.

(d) Les données personnelles collectées par l'exportateur de données dans l'UE qui ont été transférées avant la résiliation du contrat conformément au paragraphe (c) sont immédiatement supprimées dans leur intégralité, y compris toute copie de celles-ci. L'importateur de données doit certifier la suppression des données à l'exportateur de données. Jusqu'à ce que les données soient supprimées ou restituées, l'importateur de données continue de garantir le respect des présentes Clauses. Dans le cas où la législation locale applicable à l'importateur de données interdit la restitution ou la suppression des données personnelles transférées, l'importateur de données garantit qu'il continuera d'assurer le respect des présentes Clauses et qu'il ne traitera les données que dans la mesure et aussi longtemps que cette législation locale l'exige.

(e) L'une ou l'autre des Parties peut révoquer son accord d'être liée par les présentes Clauses lorsque (i) la Commission européenne adopte une décision en application de l'article 45, paragraphe 3, du règlement (UE) 2016/679 qui couvre le transfert de données personnelles auquel les présentes Clauses s'appliquent; ou (ii) le règlement (UE) 2016/679 s'intègre dans le cadre juridique du pays vers lequel les données personnelles sont transférées. Ceci s'entend sans préjudice des autres obligations applicables au traitement en question en vertu du règlement (UE) 2016/679.

Clause 17 : Loi applicable

Les présentes clauses sont régies par le droit d'un pays reconnaissant les droits des tiers bénéficiaires. Les Parties conviennent qu'il s'agira des lois de la République slovaque.

Clause 18 Choix du for et de la juridiction compétente

Tout litige découlant des présentes Clauses sera tranché par les tribunaux de la République slovaque.

ANNEXE

ANNEXE I

A. LISTE DES PARTIES

Exportateur(s) de données : L'exportateur de données est ESET (désigné dans les Conditions) à titre de sous-traitant conformément au Contrat de traitement de données.

Importateur(s) de données : L'importateur de données est Vous (tel que défini dans les Conditions) dans le cas où Vous êtes le Responsable du traitement en vertu du Contrat de traitement de données.

B. DESCRIPTION DU TRANSFERT

Catégories de personnes concernées dont les données personnelles sont transférées : Tel que défini dans la Politique de confidentialité et/ou le Contrat de traitement de données.

Catégories de données personnelles transférées : Tel que défini dans la Politique de confidentialité et/ou le Contrat de traitement de données.

Données sensibles transférées (le cas échéant) et restrictions ou garanties appliquées qui tiennent pleinement compte de la nature des données et des risques encourus, telles que, par exemple, une limitation stricte de la finalité, des restrictions d'accès (y compris l'accès réservé au personnel ayant suivi une formation spécialisée), la tenue d'un registre des accès aux données, des restrictions applicables aux transferts ultérieurs ou des mesures de sécurité supplémentaires : Tel que défini dans la Politique de confidentialité et/ou le Contrat de traitement de données.

La fréquence du transfert (p. ex., si les données sont transférées de façon ponctuelle ou continue) : Sur une base continue.

Nature du traitement : Automatisé.

Finalité(s) du transfert des données et du traitement ultérieur : Fourniture de Services dans le cadre de l'achat ou de l'obtention d'un Abonnement tel que défini dans les Conditions et précisé dans ses Annexes, la Politique de confidentialité et la Documentation.

La période pendant laquelle les données personnelles seront conservées ou, si cela n'est pas possible, les critères utilisés pour déterminer cette période : Tel que défini dans la Politique de confidentialité et/ou le Contrat de traitement de données.

Références :

(1) Lorsque l'exportateur de données est un sous-traitant soumis au règlement (UE) 2016/679 agissant pour le compte d'une institution ou d'un organe de l'Union en qualité de responsable du traitement, le recours aux présentes clauses lors de l'engagement d'un autre sous-traitant (sous-traitance ultérieure) non soumis au règlement (UE) 2016/679 assure également le respect de l'article 29, paragraphe 4, du règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données personnelles par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE (JO L 295 du 21.11.2018, p. 39), dans la mesure où les présentes clauses et les obligations en matière de protection des données énoncées dans le contrat ou l'autre acte juridique conclu entre le responsable du traitement et le sous-traitant en vertu de l'article 29, paragraphe 3, du règlement (UE) 2018/1725 sont alignées. Ce sera notamment le cas lorsque le responsable du traitement et le sous-traitant s'appuient sur les clauses contractuelles types figurant dans la décision 2021/915.

(2) Cela comprend le fait de déterminer si le transfert et le traitement ultérieur portent sur des données personnelles qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, sur des données génétiques ou des données biométriques aux fins d'identifier une personne physique de manière unique, sur des données concernant la santé ou la vie sexuelle ou l'orientation sexuelle d'une personne, ou sur des données relatives aux condamnations pénales ou aux infractions.

(3) En ce qui concerne l'incidence de ces lois et pratiques sur le respect des présentes Clauses, différents éléments peuvent être pris en compte dans le cadre d'une évaluation globale. Ces éléments peuvent comprendre une expérience pratique pertinente et documentée relative à des cas antérieurs de demandes de divulgation émanant d'autorités publiques, ou à l'absence de telles demandes, portant sur une période suffisamment représentative. Il s'agit en particulier de registres internes ou d'autres documents, établis de façon continue conformément à la diligence raisonnable et certifiés au niveau de la haute direction, à condition que ces renseignements puissent être légalement communiqués à des tiers. Lorsque l'on s'appuie sur cette expérience pratique pour conclure que l'importateur de données ne sera pas empêché de se conformer aux présentes Clauses, celle-ci doit être étayée par d'autres éléments objectifs pertinents, et il appartient aux Parties d'examiner attentivement si ces éléments, pris ensemble, ont un poids suffisant, sur le plan de leur fiabilité et de leur représentativité, pour appuyer cette conclusion. En particulier, les Parties doivent tenir compte du fait que leur expérience pratique est corroborée, et non contredite, par des renseignements fiables accessibles au public ou autrement accessibles concernant l'existence ou l'absence de demandes dans le même secteur et/ou l'application de la loi dans la pratique, comme la jurisprudence et les rapports d'organismes de surveillance indépendants.