Certains mots et expressions figurant dans ce DPA ont une définition spécifique lorsqu'ils commencent par une majuscule. Lorsqu'un terme défini est utilisé, il a soit la signification indiquée dans l’annexe 1 ci-dessous (Définitions), soit la signification qui lui est donnée dans l’article applicable de ce DPA. Les termes “responsable de traitement”, “sous-traitant”, "personne concernée", "données à caractère personnel", "traitement", "demande d’accès", "violation de données", “sous-traitant ultérieur” et "autorité de contrôle" ont la signification qui leur est donnée dans la Législation sur la Protection des Données.

2.5 Anonymisation et Données Dérivées. Dans le cadre de ses activités en tant que responsable de traitement indépendant au titre du présent article 2, Sunday est autorisée à anonymiser et agréger les données personnelles des Utilisateurs afin de créer des jeux de données qui ne permettent pas, directement ou indirectement, l'identification d'un Utilisateur ou du Marchand (« Données Dérivées »), telles que définies à l'article 13.3 du Contrat. Les finalités et modalités de ce traitement sont décrites dans la politique de confidentialité Utilisateurs de Sunday.

Les Données Dérivées ne constituent pas des données à caractère personnel au sens de la Législation sur la Protection des Données. Leur création, utilisation et exploitation par Sunday ne sont pas soumises aux obligations du présent DPA relatives au traitement des données à caractère personnel.

Le Marchand reconnaît que la création de Données Dérivées relève des finalités propres de Sunday en tant que responsable de traitement indépendant et ne constitue pas un traitement effectué pour le compte du Marchand au sens de l'article 3 du présent DPA.

2.6 Anonymisation des Données Marchand pour la création de Données Dérivées. En application de la licence concédée par le Marchand au titre de l'article 13.3(a) du Contrat, Sunday anonymise et agrège les données personnelles contenues dans les Données Marchand (y compris, le cas échéant, les données relatives au Personnel du Marchand) aux fins de création de Données Dérivées. Aux fins de l'article 3.2 du présent DPA, cette opération constitue une instruction documentée du Marchand, dont l'exécution aboutit à la création de données qui ne constituent plus des données à caractère personnel au sens de la Législation sur la Protection des Données.

3.5 Sunday apportera son assistance au Marchand pour répondre à toute demande d’une personne concernée et pour assurer le respect de ses obligations en vertu de la Législation sur la Protection des Données concernant la sécurité, les notifications en cas de violations de données, les évaluations d'impact sur la protection des données et les consultations avec les autorités de contrôle ou les régulateurs.

3.6 Sunday informera rapidement le Marchand après avoir pris connaissance et confirmé tout traitement, toute divulgation ou tout accès accidentels, non autorisés ou illégaux affectant des données personnelles.

3.7 Afin de fournir les services au Marchand, Sunday n'accédera et ne traitera les données personnelles que provenant (i) des pays de l'EEE, (ii) des pays ou territoires formellement reconnus par la Commission européenne comme offrant un niveau adéquat de protection des données (« Pays Adéquats ») et (iii) des pays tiers ou territoires, pour autant que Sunday et le sous-traitant ultérieur concerné aient mis en place un Mécanisme de Transfert Valide.

3.8 À la demande écrite du Marchand, Sunday devra supprimer ou restituer les données personnelles ainsi que les copies de celles-ci au Marchand à la résiliation du DPA, sauf si la Législation sur la Protection des Données ou d'autres lois applicables exigent le stockage des données personnelles.

3.9 Sunday mettra en place et maintiendra en permanence, pendant la durée du présent DPA, des mesures techniques et organisationnelles afin de protéger les données personnelles contre tout traitement non autorisé ou illicite, ainsi que contre toute perte ou tout dommage accidentel : (i) en assurant, dans chaque cas, un niveau de sécurité approprié au risque; (ii) en maintenant la certification PCI DSS (Payment Card Industry Data Security Standard) niveau 1; et (iii), en maintenant des contrôles conformes aux pratiques industrielles acceptées, y compris les normes de l'Organisation internationale de normalisation (ISO): NIST (National Institute of Standards and Technology) CSF (Cybersecurity Framework).

3.10 Au minimum, les mesures de sécurité mises en place par Sunday pour la protection des données personnelles incluront : (i) la sécurisation des systèmes cloud, des systèmes de sauvegarde et de l'équipement informatique, y compris, mais sans s'y limiter, tous les dispositifs de point de terminaison et autres équipements dotés d'une capacité de stockage d'informations ; (ii) la mise en œuvre de la sécurité réseau, des applications, des bases de données et des plates-formes ; (iii) la sécurisation de la transmission, du stockage et de l'élimination des informations ; (iv) la mise en place de l'authentification et des contrôles d'accès au sein des supports, applications, systèmes d'exploitation et équipements ; (v) le chiffrement des données personnelles au repos lorsque cela est possible ; (vi) le chiffrement des données personnelles transmises en transit sur le réseau ; (vii) la ségrégation stricte des données du commerçant par rapport aux informations de Sunday ou de ses autres clients, de manière à ce que les données du commerçant ne soient pas mélangées avec d'autres types d'informations ; (viii) la réalisation d'évaluations des risques et de scans de vulnérabilité, et la mise en œuvre rapide, aux seuls frais de Sunday, d'un plan d'action correctif pour remédier à tout problème signalé à la suite des tests ; (ix) la mise en place de procédures et pratiques appropriées de sécurité et d'intégrité du personnel ; et (x) la fourniture d'une formation appropriée à la sécurité de l'information aux salariés de Sunday.

Un mécanisme de transfert de données autorisé par la Législation sur la Protection des Données en tant que base légale pour transférer des données personnelles à un destinataire situé dans un pays tiers au sens du RGPD et du Data Protection Act 2018.

Personnel du Marchand (y compris les Serveurs) ; Utilisateurs (dans la mesure où leurs données sont traitées pour le compte du Marchand conformément à ses instructions documentées).

La durée du Contrat, plus la période nécessaire à la suppression ou à la restitution de l'ensemble des données personnelles par Sunday conformément à l'article 3.8 du présent DPA.