Avenant sur le traitement des données

Dernière mise à jour : 11 septembre 2025

Le présent Avenant sur le traitement des données, y compris ses annexes (collectivement, l'« DPA »), est intégré à chaque accord conclu entre Tanium et ses clients et partenaires pour la Provision des Services Tanium (l'« Accord »). Sauf définition spécifique dans le présent DPA, les termes en majuscules utilisés dans ce DPA auront la signification définie dans l'Accord.

1. Définitions.

a) « CCPA » désigne le California Consumer Privacy Act, Cal. Civ. Code § 1798,100 et seq., tel que modifié par le California Privacy Rights Act, ainsi que ses règlements d'application.

b) « Données Personnelles du Client » désigne toute Donnée Personnelle que Tanium Traite en tant que Sous-traitant dans le cadre de la fourniture des Services Tanium et de leur utilisation par le Client.

c) « Client » désigne le client ou le partenaire qui est partie à l'Accord.

d) « Lois sur la Protection des Données » désigne l'ensemble des lois sur la protection des données et la vie privée applicables au Traitement des Données Personnelles dans le cadre de l'Accord, y compris, le cas échéant, les Lois Européennes sur la Protection des Données et le CCPA.

e) « Responsable du Traitement des Données » désigne une entité qui détermine les finalités et les moyens du Traitement des Données Personnelles.

f) « Sous-traitant » désigne une entité qui Traite des Données Personnelles pour le compte d'un Responsable du Traitement, y compris, le cas échéant, tout « prestataire de services » au sens défini par le CCPA.

g) "Lois européennes sur la protection des données" désigne : (i) le Règlement 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du Traitement des Données personnelles et à la libre circulation de ces données (Règlement général sur la protection des données) (le "RGPD de l'UE") ; (ii) la Directive de l'UE sur la vie privée et les communications électroniques (Directive 2002/58/CE) ; (iii) le RGPD de l'UE tel qu'intégré dans le droit du Royaume-Uni en vertu de l'article 3 de la loi du Royaume-Uni sur le retrait de l'Union européenne (European Union (Withdrawal) Act) 2018 (le "RGPD du Royaume-Uni") ; (iv) la Loi fédérale suisse sur la protection des données du 19 June 1992 (la "Loi suisse sur la protection des données") ; et (v) toutes les lois nationales applicables en matière de protection des données adoptées en vertu de, conformément à, ou conjointement avec l'un des points (i) à (iv) ; dans chaque cas, tels qu'ils peuvent être modifiés ou remplacés.

h) "Données personnelles" désigne toute information relative à une personne physique identifiée ou identifiable.

i) "Traitement" désigne toute opération ou ensemble d'opérations effectuées sur des Données personnelles ou des ensembles de Données personnelles, que ce soit ou non par des moyens automatisés, telles que la collection, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ; les termes "Traiter", "Traite" et "Traité" sont interprétés en conséquence.

j) "Transfert Restreint" désigne : (i) lorsque le RGPD de l'UE s'applique, un transfert de Données Personnelles depuis l'Espace Économique Européen vers un pays situé en dehors de l'Espace Économique Européen qui ne fait pas l'objet d'une décision d'adéquation de la Commission Européenne ; (ii) lorsque le RGPD du Royaume-Uni s'applique, un transfert de Données Personnelles depuis le Royaume-Uni vers tout autre pays qui ne repose pas sur des règlements d'adéquation en vertu de la Section 17A de la loi britannique sur la protection des données 2018 ; et (iii) lorsque la loi suisse sur la protection des données s'applique, un transfert de Données Personnelles depuis la Suisse vers tout autre pays dont le niveau de protection des données n'a pas été jugé adéquat par le Préposé fédéral à la protection des données et à la transparence ou toute autre autorité suisse compétente.

k) "Incident de Sécurité" désigne une violation de la sécurité entraînant la destruction accidentelle ou illicite, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé aux Données Personnelles du Client.

l) "Clauses Contractuelles Types" désigne les clauses contractuelles du Module Deux (responsable du traitement vers sous-traitant) annexées à la Décision d'Exécution de la Commission Européenne 2021/914 du 4 June 2021 relative aux clauses contractuelles types pour le transfert de données personnelles vers des pays tiers en vertu du Règlement (UE) 2016/679 du Parlement Européen et du Conseil, telles que définies à la Section 6,1 du présent DPA.

m) "Sous-traitant" désigne tout Responsable du Traitement des Données mandaté par Tanium pour l'assister dans l'exécution de ses obligations relatives à la fourniture des Services Tanium conformément au Contrat. Les Sous-traitants ultérieurs peuvent inclure des parties tierces ou des Sociétés affiliées de Tanium.

n) "Tanium" désigne les entités Tanium parties au Contrat.

o) "Tanium Services" désigne les logiciels fournis en tant que service hébergé par Tanium, ainsi que tout Service d'Assistance relatif aux produits logiciels Tanium.

p) "Avenant Royaume-Uni" désigne l'Avenant International de Transfert de Données aux Clauses Contractuelles Types de la Commission Européenne (version B1,0) émis par le Bureau du Commissaire à l'Information du Royaume-Uni le 21 mars 2022.

2. Champ d'application du présent DPA. Le présent DPA s'applique dans les cas et dans la seule mesure où Tanium traite des Données Personnelles du Client.

3. Relation entre les Parties. Dans le cadre de la relation entre Tanium et le Client, le Client est le Responsable du traitement des Données à caractère personnel du Client. Tanium ne traitera les Données Personnelles du Client qu'aux fins décrites dans le présent DPA et dans le Contrat, et uniquement conformément aux instructions légales documentées du Client. Les parties conviennent que le présent DPA et le Contrat définissent les instructions complètes et définitives du Client à Tanium concernant le Traitement des Données Personnelles du Client, et que tout Traitement en dehors du périmètre de ces instructions nécessitera le consentement écrit préalable du Client.

4. Traitement des Données Personnelles par le Client. Le Client s'engage à (i) respecter ses obligations au titre des Lois sur la Protection des Données en ce qui concerne son Traitement des Données Personnelles et toute instruction de Traitement qu'il adresse à Tanium ; et (ii) avoir fourni les notifications et obtenu (ou obtenir) tous les consentements et droits nécessaires au titre des Lois sur la Protection des Données pour que Tanium puisse Traiter les Données Personnelles du Client et fournir les Services Tanium conformément au Contrat et au présent DPA.

5. Détails du Traitement. Les détails du Traitement des Données Personnelles du Client sont définis à l'Annexe 1 du présent DPA.

6. Transferts de Données.

6,1. Lorsque le transfert de Données Personnelles du Client constitue un Transfert Restreint effectué depuis l'Espace Économique Européen, les Clauses Contractuelles Types sont intégrées au présent DPA et s'appliquent au transfert comme suit :

a) Clause 7 (Clause d'adhésion) – ne s'applique pas.

b) Clause 9 (Recours à des sous-traitants) – l'Option 2 (Autorisation écrite générale) s'appliquera, et le délai est celui précisé à la Section 9 du présent DPA.

c) Clause 11 (Recours) – la formulation facultative ne s'applique pas.

d) Clause 17 (Droit applicable) – l'Option 1 s'appliquera et le droit applicable sera : (a) le droit du pays précisé dans le Contrat si le Contrat est encadré par le droit d'un État membre de l'UE ; ou (b) le droit des Pays-Bas si le Contrat est encadré par le droit d'un État non membre de l'UE.

e) Clause 18 (Choix du tribunal et juridiction compétente) – le choix du tribunal et la juridiction compétente applicables seront : (a) les tribunaux du pays précisé dans le Contrat si le Contrat est encadré par le droit d'un État membre de l'UE ; ou (b) les tribunaux des Pays-Bas si le Contrat est encadré par le droit d'un État non membre de l'UE.

f) Les détails des Annexes I et II des Clauses Contractuelles Types sont définis à l'Annexe 1 du présent DPA.

6,2. Lorsque le transfert de Données Personnelles du Client constitue un Transfert Restreint effectué depuis le Royaume-Uni, l'Avenant britannique est intégré au présent DPA et s'applique au transfert. Les tableaux 1, 2 et 3 de l'Avenant britannique sont complétés avec les informations figurant à la Section 6,1 ci-dessus et à l'Annexe 1 du présent DPA, et le Tableau 4 de la Partie 1 de l'Avenant britannique est complété en sélectionnant « Importateur ».

6,3. Lorsque le transfert de Données Personnelles du Client constitue un Transfert Restreint effectué depuis la Suisse, les Clauses Contractuelles Types sont intégrées au présent DPA et s'appliquent au transfert tel que modifié à la Section 6,1 ci-dessus, à l'exception de ce qui suit :

a) Les références au « Règlement (UE) 2016/679” sont interprétées comme des références à la Loi suisse sur la protection des données.

b) Les références à des articles spécifiques du « Règlement (UE) 2016/679” sont remplacées par l'article ou la section équivalent(e) de la Loi suisse sur la protection des données.

c) « Union » et « État membre » sont remplacés par « Suisse ».

d) Les références à l'« autorité de contrôle compétente » et aux « tribunaux compétents » sont remplacées par le « Préposé fédéral suisse à la protection des données et à la transparence » et les « tribunaux compétents de Suisse ».

e) La clause 13(a) et la partie C de l'Annexe I ne sont pas utilisées et l'« autorité de contrôle compétente » est le Préposé fédéral suisse à la protection des données et à la transparence.

f) Dans la clause 17, les Clauses Contractuelles Types sont encadrées par les lois de Suisse.

g) Dans la clause 18, les litiges seront résolus devant les tribunaux compétents de Suisse.

6,4. Lorsque les Clauses contractuelles types s’appliquent :

a) Le Client exercera ses droits d'audit dans le cadre des Clauses Contractuelles Types tels que définis à la Section 14 du présent DPA.

b) Avant d'initier un Transfert Restreint vers un Sous-traitant, Tanium conclura un accord avec ce Sous-traitant contenant les Clauses Contractuelles Types Module Trois (sous-traitant à sous-traitant), ou alternativement, Tanium s'assurera que le Sous-traitant dispose de garanties appropriées conformément aux Articles 46 ou 47 du RGPD de l'UE et/ou du RGPD du Royaume-Uni (selon le cas) en ce qui concerne le traitement effectué par le Sous-traitant.

c) En cas de conflit entre le présent DPA et les Clauses Contractuelles Types, les Clauses Contractuelles Types prévaudront.

7. Confidentialité du traitement. Tanium garantit que toute personne qu'il autorise à traiter les Données Personnelles du Client protégera ces données conformément aux obligations de confidentialité de Tanium prévues dans le Contrat.

8. Security.

8,1. Responsabilités de Tanium. Tanium mettra en œuvre des mesures techniques et organisationnelles pour garantir un niveau de sécurité adapté au risque, tel que décrit dans les mesures de sécurité disponibles à l'adresse https://help.tanium.com/bundle/ug_cloud_cloud/page/cloud/trust_compliance.html, afin de protéger les Données Personnelles du Client contre tout incident de sécurité. Tanium peut revoir et mettre à jour les mesures de sécurité de temps à autre, sous réserve que ces mises à jour ne réduisent pas de manière substantielle le niveau global de confidentialité ou de sécurité des Données Personnelles du Client.

8,2. Responsabilités du Client. Nonobstant ce qui précède, le Client accepte que, sauf disposition contraire du présent DPA, il est responsable de l'utilisation des Services Tanium dans des conditions de sécurité, notamment de la protection de ses identifiants d'authentification, de la sécurité des Données Personnelles du Client lors de leur transit vers et depuis les Services Tanium, ainsi que de la mise en œuvre de toute mesure appropriée pour chiffrer ou sauvegarder les Données Personnelles du Client fournies dans le cadre des Services Tanium.

9. Sous-traitants. Le Client donne une autorisation générale à Tanium pour faire appel à des Sous-traitants tiers afin de Traiter les Données Personnelles du Client, à condition que : (i) Tanium tienne à jour une liste de ses Sous-traitants à l'adresse https://www.tanium.com/subprocessors (« Liste des Sous-traitants ») ; (ii) Tanium impose à tout Sous-traitant qu'il désigne des obligations en matière de protection des données exigeant que celui-ci protège les Données Personnelles du Client conformément aux exigences des Lois sur la Protection des Données applicables ; et (iii) Tanium demeure responsable de tout manquement au présent Contrat résultant d'un acte, d'une erreur ou d'une omission de ses Sous-traitants. La Liste des Sous-traitants contient un mécanisme permettant de s'abonner aux notifications relatives aux nouveaux Sous-traitants. Si le Client s'abonne, Tanium l'informera au préalable de tout nouveau Sous-traitant envisagé en mettant à jour cette liste avant que le nouveau Sous-traitant ne commence à Traiter des Données Personnelles du Client. Le Client peut s'opposer à la désignation ou au remplacement d'un Sous-traitant par Tanium dans un délai de dix (10) jours à compter de la notification, telle qu'indiquée par la date de « Dernière mise à jour » figurant sur la Liste des Sous-traitants, à condition que cette opposition soit fondée sur des motifs raisonnables liés à la protection des Données Personnelles du Client et soit communiquée à Tanium par écrit, selon les modalités prévues par le Contrat. Dans de telles circonstances, soit Tanium s’abstiendra de nommer ce Sous-traitant ultérieur, soit elle lui interdira de traiter les Données à caractère personnel du Client. Si de telles mesures s'avèrent impossibles, le Client peut suspendre ou résilier le Contrat moyennant un préavis écrit de trente (30) jours. Toute résiliation de ce type sera considérée comme une résiliation sans faute et sans préjudice de l'obligation du Client de régler les frais dus au titre du Contrat jusqu'à la date de prise d'effet de ladite résiliation. Aucune des parties n'aura d'obligation supplémentaire envers l'autre à la suite d'une telle résiliation.

10. Coopération et droits des Personnes Concernées. Les Services Tanium mettent à la disposition du Client des fonctionnalités lui permettant de récupérer, corriger, supprimer ou restreindre les Données Personnelles du Client. Le Client peut utiliser ces commandes pour l’aider à remplir les obligations qui lui incombent en vertu des Lois applicables en matière de protection des données, y compris ses obligations relatives à la réponse aux demandes des personnes concernées ou des autorités applicables en matière de protection des données. Dans la mesure où le Client n'est pas en mesure d'accéder de façon autonome aux Données Personnelles du Client concernées dans le cadre des Services Tanium, Tanium apportera une assistance raisonnable sur le plan commercial et dans des délais appropriés pour permettre au Client de répondre à : (i) toute demande d'une personne concernée visant à exercer l'un de ses droits en vertu des Lois applicables sur la Protection des Données (notamment ses droits d'accès, de rectification, d'opposition, d'effacement et de portabilité des données, le cas échéant) ; et (ii) toute autre correspondance, demande de renseignements ou réclamation reçue d'une personne concernée, d'une autorité de contrôle ou d'un tiers en lien avec le Traitement des Données Personnelles du Client. Si une telle demande, correspondance, demande de renseignements ou réclamation est adressée directement à Tanium, Tanium en informera le Client sans délai en lui communiquant l'ensemble des détails y afférents.

11. Analyse d'Impact sur la Protection des Données. Dans la mesure où la législation européenne sur la protection des données l'exige, Tanium fournira des informations raisonnables sur le plan commercial concernant les Services Tanium (ces informations constituant des Informations Confidentielles de Tanium) pour permettre au Client de réaliser des analyses d'impact sur la protection des données ou des consultations préalables auprès des autorités de protection des données, conformément aux exigences de la législation européenne sur la protection des données.

12. Incidents de sécurité. Si Tanium prend connaissance d'un incident de sécurité, Tanium en informera le Client par e-mail sans délai et lui fournira des informations et une coopération dans des limites raisonnables afin que le Client puisse satisfaire à toute obligation de notification de violation de données qui lui incombe, conformément aux délais imposés par la législation applicable en matière de protection des données. Tanium prendra en outre les mesures et actions raisonnablement nécessaires pour remédier aux effets de l'incident de sécurité ou les atténuer, et tiendra le Client informé, dans la mesure du possible, de tout développement important lié à l'incident de sécurité.

13. Suppression ou restitution des données. À la résiliation ou à l'expiration du Contrat, Tanium procédera, selon le choix du Client, à la suppression ou à la restitution au Client de l'ensemble des Données Personnelles du Client en sa possession ou sous son contrôle que Tanium traite en tant que Sous-traitant. Si le Client n'informe pas Tanium de son choix dans les trente (30) jours suivant la résiliation ou l'expiration du Contrat, Tanium supprimera automatiquement l'ensemble de ces Données Personnelles du Client. Si Tanium dispose de Données Personnelles du Client archivées sur des systèmes de sauvegarde, Tanium isolera et protégera ces Données Personnelles du Client de manière sécurisée contre tout traitement ultérieur, jusqu'à ce que les systèmes de sauvegarde procèdent à la suppression de ces données. Tanium ne supprimera pas les Données Personnelles du Client dans la mesure où la loi impose leur conservation.

14. Audit. Le Client reconnaît que Tanium est régulièrement auditée par des auditeurs tiers indépendants pour vérifier que les normes applicables sont respectées. Sur demande, dans la limite d'une fois par période de 12 mois, sauf exigence d'une autorité de contrôle compétente, et sans frais supplémentaires pour le Client, Tanium fournira au Client une copie récapitulative de son ou ses rapports d'audit, qui sera soumise aux dispositions de confidentialité du Contrat. Sur demande et sous réserve des dispositions de confidentialité du Contrat, le Client peut demander des réponses à un questionnaire de sécurité des informations et d'audit afin de confirmer la conformité de Tanium aux dispositions du présent DPA, étant entendu que le Client n'exercera pas ce droit plus d'une fois par an, sauf si une autorité de contrôle compétente l'exige. Tanium et le Client s'accordent à l'avance sur le périmètre de la demande du Client ainsi que sur les dates de début et de fin.

15. Divers.

15,1. Entre les parties, la responsabilité de chaque partie découlant du présent DPA ou liée à celui-ci est soumise aux dispositions de limitation de responsabilité du Contrat. En aucun cas l'une ou l'autre des parties ne peut limiter sa responsabilité à l'égard d'une personne concernée ou d'une autorité de protection des données en vertu des Clauses Contractuelles Types.

15,2. En cas de conflit ou d'incohérence entre le présent DPA et le Contrat concernant l'objet du présent DPA, le présent DPA prévaut.

15,3. Le présent DPA est encadré par les dispositions relatives au choix de la loi applicable au Contrat et interprété conformément à celles-ci, sauf disposition contraire des Lois applicables en matière de protection des données.

15,4. Lorsque les Clauses Contractuelles Types sont applicables, Tanium Inc. est l'« importateur de données » au sens des Clauses Contractuelles Types. Lorsque l'entité Tanium partie au présent DPA n'est pas Tanium Inc., cette entité Tanium assume les obligations de l'« importateur de données » pour le compte de Tanium Inc.

15,5. Nonobstant toute limitation relative à la modification ou à l'amendement du Contrat, les parties conviennent que Tanium peut mettre à jour le présent DPA de façon périodique afin de maintenir la conformité avec les évolutions des Lois applicables en matière de protection des données. En cas de modification, Tanium publiera une version mise à jour sur www.tanium.com/dpa. Aucune mise à jour de ce type ne réduira de manière substantielle la confidentialité ou la sécurité des données personnelles du Client.

Pièce 1

ANNEXE I

A. LISTE DES PARTIES

Exportateur(s) de données :

Importateur(s) de données :

В. DESCRIPTION DU TRANSFERT

C. AUTORITÉ DE CONTRÔLE COMPÉTENTE

ANNEXE II - MESURES TECHNIQUES ET ORGANISATIONNELLES, Y COMPRIS LES MESURES TECHNIQUES ET ORGANISATIONNELLES VISANT À GARANTIR LA SÉCURITÉ DES DONNÉES