Conditions relatives à la confidentialité du TAAP – Entente entre les responsables du traitement (y compris les CCT)

Annexe 4 (TAAP)

La version originale anglaise de la présente Entente entre les responsables du traitement peut avoir été traduite dans d’autres langues. En cas d’incohérence ou de divergence entre la version anglaise et toute autre version de la présente Entente rédigée dans une autre langue, la version anglaise prévaut.

PORTÉE : Lorsque Expedia et vous-même traitez des données personnelles dans le cadre d’un accord (qui peut prendre la forme de conditions générales d’achat au clic en ligne) conclu avec l’autre partie (en vertu duquel vous avez été désigné comme partenaire de marketing dans le cadre du programme TAAP, et toutes les activités pertinentes liées à cette activité sont désignées dans le présent document comme les « Activités pertinentes »), la présente entente globale entre les responsables du traitement (« Entente entre les responsables du traitement ») est complémentaire à cet accord conclu entre les parties et s’y applique (l’« Accord »), et définit des conditions et des exigences supplémentaires selon lesquelles Expedia et vous traiterez chacun les données personnelles dans le cadre de l’Accord. Dans la présente Entente entre les responsables du traitement, « Expedia », « nous » et « notre » font référence à Expedia, Inc. et/ou à toute autre société d’Expedia Group partie à l’Accord. « Vous » fait référence à l’entité nommée indiquée dans la Demande d’inscription telle que décrite dans l’Accord (et toutes les références à Expedia ou à vous seront interprétées comme des termes au pluriel dans la mesure requise par l’Accord).

1. DÉFINITIONS ET INTERPRÉTATION

1.1 La présente Entente entre les responsables du traitement est soumise aux conditions de l’Accord et est intégrée à l’Accord. Les interprétations et les termes définis énoncés dans l’Accord s’appliquent à l’interprétation de la présente Entente entre les responsables du traitement, sauf indication contraire dans la présente Entente entre les responsables du traitement; et :

1. les termes mesures techniques et organisationnelles appropriées, responsable du traitement, données personnelles, violation de données personnelles, traiter/traitement et autorité de surveillance (ou des termes sensiblement équivalents) ont le sens qui leur est attribué dans les Lois applicables en matière de protection des données;
2. Loi(s) applicable(s) en matière de protection des données désigne toutes les lois et réglementations applicables dans tout territoire concerné, relativement à l’utilisation ou au traitement des données personnelles;
3. Pays membre du CBPR désigne un pays qui est membre à part entière ou membre associé du Système CBPR;
4. Partie membre du CBPR désigne une organisation qui détient une certification en cours de validité dans le cadre du Système CBPR;
5. Le Système CBPR désigne le système de règles relatives aux transferts transfrontaliers de données de la Coopération économique Asie-Pacifique;
6. Fin permise signifie un objectif visant soit (i) à honorer des Réservations; (ii) à offrir de l’assistance en ce qui a trait aux Réservations; (iii) à traiter les inscriptions au programme TAAP et administrer les comptes associés (iv) à payer la Commission et d’autres montants en vertu de l’Accord; (v) à générer des rapports pour vous et tout autre traitement nécessaire à la réconciliation, au traitement des plaintes et à des activités similaires liées à la gestion de l’Accord (vi) à offrir de l’assistance en lien avec les Comptes TAAP; (vii) à communiquer avec les Membres et les Utilisateurs secondaires du programme TAAP; (viii) à améliorer de nos services, y compris en optimisant l’expérience de réservation; (ix) à créer des rapports aux fins d’analyse, de veille stratégique et de publication d’information; (x) à prévenir la fraude; (xi) à répondre aux demandes de mise en application de la loi et aux demandes de vérification de l’autorité fiscale; (xii) à faciliter les transactions liées aux actifs commerciaux (lesquelles peuvent s’étendre aux fusions, aux acquisitions ou à la vente d’actifs); (xiii) à remplir, de toute autre façon, nos obligations en vertu de l’Accord, de la politique de confidentialité d’Expedia et des lois applicables; ou (xiv) à déterminer, à calculer et à déclarer les Taxes de voyage et autres taxes applicables, comme cela peut être exigé à l’occasion;
7. DPF désigne une certification du cadre de protection des données UE – États-Unis (EU-US Data Privacy Framework) auprès du département du Commerce des États-Unis ou tout mécanisme de certification de remplacement ou supplémentaire approuvé par la Commission européenne (ou toute autre autorité nationale compétente) de temps à autre; et comprend toutes les décisions d’adéquation supplémentaires émises par tout autre pays qui permettent l’extension du DPF entre les États-Unis et ce pays tiers (par exemple, sans s’y limiter, le Royaume-Uni et la Suisse);
8. Pays DPF désigne un pays de l’EEE, le Royaume-Uni, la Suisse et tout autre pays ou région dont les autorités compétentes ont accepté d’étendre l’application du DPF à ce pays/cette région;
9. EEE signifie Espace économique européen;
10. Pays de transfert restreint désigne tout pays de l’Espace économique européen, la Suisse, le Royaume-Uni et le Brésil;
11. Données à transfert restreint désigne les données de clients relatives à une Réservation effectuée par l’intermédiaire d’un point de vente destinées par nous à être consultées par des Clients situés dans un Pays de transfert restreint;
12. Clauses contractuelles types ou CCT désigne les clauses contractuelles types approuvées de la Commission européenne pour le transfert de données personnelles de l’Union européenne vers des pays tiers, telles que publiées le 4 juin 2021, telles que modifiées, remplacées, complétées ou remplacées de temps à autre, et les dont la version actuelle complète peut être consultée en suivant ce lien : https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en; et
13. Données TAAP à caractère personnel désigne les données personnelles qui nous sont fournies par l’intermédiaire du Site Web TAAP, ou traitées de toute autre façon, dans le cadre du programme TAAP ou pour faciliter le traitement des Réservations effectuées au moyen du Site Web TAAP.

RELATION ENTRE LES PARTIES

1.2 Vous, tout comme notre société, recueillerons et traiterons les données personnelles en vue d’exercer nos droits et de remplir nos obligations aux termes de l’Accord, et assumerons respectivement nos responsabilités en vertu des lois applicables. À ce titre, chaque partie s’engage (i) à traiter les données personnelles en tant que responsable indépendant et autonome du traitement; (ii) à respecter la Loi applicable en matière de protection des données; et (iii) à assumer la responsabilité de ses actes ou omissions qui contreviennent à la Loi applicable en matière de protection des données.

VOS RESPONSABILITÉS

1.3 Vous devez notamment :

1. respecter une base juridique afin de mettre à notre disposition les Données TAAP à caractère personnel que nous traiterons aux Fins permises;
2. veiller à informer les Clients, par l’intermédiaire de votre politique de confidentialité et par tout autre moyen approprié, que leurs données personnelles seront partagées avec nous aux Fins permises;
3. diriger les Clients vers notre politique de confidentialité dans le cas où ils voudraient obtenir des détails à propos de la façon dont nous traitons leurs données personnelles;
4. coopérer avec nous et nous fournir du soutien, dans la mesure du possible, afin de nous aider à respecter les Lois applicables en matière de protection des données dans le cadre de nos opérations de traitement des Données TAAP à caractère personnel aux termes de l’Accord; et
5. respecter une base juridique pour envoyer des communications de marketing aux clients.

NOS RESPONSABILITÉS

1.4 Nous (et les Membres de notre groupe, s’il y a lieu) nous engageons à : 

1. traiter les Données TAAP à caractère personnel uniquement dans le cadre des Fins permises;
2. ne divulguer à personne des Données TAAP à caractère personnel, en tout ou en partie, sauf à l’égard des Fins permises;
3. coopérer avec vous et à vous fournir du soutien, dans la mesure du possible, afin de vous aider à respecter les Lois applicables en matière de protection des données dans le cadre de vos opérations de Traitement des Données TAAP à caractère personnel aux termes de l’Accord; et
4. afficher et respecter notre avis au sujet des témoins (si nécessaire), qui est à jour et conforme à la loi, ainsi que notre politique de confidentialité sur le Site Web TAAP.

CLIENTS ET TIERS

1.5 Vous reconnaissez que nous pouvons :

1. envoyer des courriels aux Clients concernant des Réservations;
2. transmettre des Données TAAP à caractère personnel (y compris des renseignements bancaires) à notre fournisseur de services tiers aux fins :
   1. d’administration, de gestion et d’assistance en ce qui a trait à votre Compte TAAP, au Compte TAAP de vos Représentants et à celui de vos Utilisateurs secondaires;
   2. d’assistance en lien avec les Réservations; et
   3. du paiement de la Commission et d’autres montants en vertu de l’Accord.

SÉCURITÉ DES DONNÉES ET VIOLATIONS

1.6 Vous et nous, en notre qualité respective de responsables du traitement, convenons que nous nous engageons à :

1. maintenir des mesures techniques et organisationnelles appropriées pour protéger les données personnelles que vous et nous traitons contre une éventuelle violation de données personnelles; et
2. advenant une violation de données personnelles confirmée dans des systèmes que possède ou administre la partie concernée, informer rapidement l’autre partie si ladite violation à la fois (i) se rapporte à des Données TAAP à caractère personnel qui sont aussi traitées par l’autre partie aux termes de l’Accord; et (ii) doit être signalée à une autorité de surveillance en fournissant tous les détails liés à l’incident. Le cas échéant, les deux parties doivent collaborer de façon raisonnable et en toute bonne foi pour remédier au problème de violation de données personnelles ou en atténuer les effets, et les coûts raisonnables de cette collaboration seront à la charge de la partie ayant été victime de la violation de données personnelles.

TRANSFERTS DE DONNÉES TRANSFRONTALIERS

1.7 Transferts de données transfrontaliers

Les Parties conviennent et reconnaissent que, dans la présente Clause 1.7, chaque fois que le terme « transfert » est utilisé, il inclut l’accès fourni par un responsable du traitement/sous-traitant à un autre responsable du traitement/sous-traitant et : 

1. Général : aucune des Parties ne transférera (et n’autorisera aucune autre partie à transférer) les Données personnelles pertinentes en dehors du territoire d’origine, à moins que cette Partie ne prenne toutes les mesures de conformité nécessaires pour permettre ce transfert en toute légalité, conformément à la Loi applicable en matière de protection des données.
2. Région Asie-Pacifique et pays membres du Forum mondial sur les règles relatives aux transferts transfrontaliers de données (CBPR − Cross-Border Privacy Rules) :

   1. Les Parties conviennent et reconnaissent :

      1. qu’une Partie CBPR est tenue par un ensemble d’obligations juridiquement contraignantes visant à fournir une protection comparable à celle prévue par les Lois applicables en matière de protection des données; et
      2. qu’Expedia est une Partie CBPR.

      Lorsque la Société est également une Partie CBPR, les dispositions du présent paragraphe (b) seront interprétées comme s’appliquant dans les deux sens.

   2. Sous réserve du paragraphe (iii) ci-dessous, les Parties conviennent que lorsque :

      1. des Données personnelles pertinentes sont transférées d’un Pays CBPR vers un autre Pays CBPR; et
      2. que l’importateur de données est une Partie CBPR,

      alors, dans la mesure où et aussi longtemps que le Système CBPR est une méthode de transfert reconnue par une autorité de surveillance compétente, le Système CBPR sera le mécanisme convenu pour les transferts transfrontaliers de Données personnelles pertinentes vers cette Partie CBPR.

   3. Le Système CBPR ne s’appliquera qu’aux transferts impliquant au moins une des Parties situées dans un pays de la région Asie-Pacifique qui est également un Pays CBPR.

   4. Expedia confirme qu’elle fournira au moins le même niveau de protection pour les Données personnelles pertinentes que celui requis par le Système CBPR; et elle informera rapidement l’autre Partie si elle détermine qu’elle ne peut plus fournir ce niveau de protection. Dans un tel cas, ou si l’autre Partie estime raisonnablement qu’Expedia ne protège pas les Données personnelles pertinentes conformément aux normes requises par le Système CBPR, l’autre Partie peut soit :

      1. exiger d’Expedia qu’elle prenne des mesures raisonnables et appropriées pour mettre fin à tout traitement non autorisé et y remédier, auquel cas les Parties coopéreront rapidement et de bonne foi pour identifier, convenir et mettre en œuvre ces mesures;
      2. convenir d’une autre mesure de protection pouvant s’appliquer au traitement en vertu de la Loi applicable en matière de protection des données; ou
      3. si (A) et (B) ne parviennent pas à résoudre le problème, résilier la présente Entente entre les responsables du traitement et l’Accord (ou, au choix de l’autre Partie, toute partie concernée de celle-ci) sans pénalité en adressant une notification à Expedia.

      Si l’autre Partie détient également une certification de Système CBPR en cours de validité, les dispositions ci-dessus seront réputées applicables comme si les obligations étaient réciproques.

3. DPF : Les Parties conviennent qu’en ce qui concerne les transferts de Données à transfert restreint entre les Parties vers les États-Unis ou vers un pays qui n’a pas été jugé « adéquat » en vertu des Lois applicables en matière de protection des données du Pays à transfert restreint d’origine :
   1. dans la mesure où et aussi longtemps que le DPF est une méthode de transfert reconnue comme telle par une autorité compétente, le DPF sera le mécanisme convenu pour les transferts transfrontaliers de données provenant d’un Pays de transfert restreint vers Expedia aux États-Unis; et
   2. dans la mesure où et aussi longtemps que le DPF n’est pas une méthode de transfert valide (y compris pour les transferts de Données à transfert restreint vers un pays qui n’a pas été jugé « adéquat » en vertu de la Loi applicable en matière de protection des données du Pays à transfert restreint d’origine), 
      
      les CCT s’appliquent à ces transferts et nous les conclurons aux conditions énoncées au paragraphe (h) ci-dessous. Lorsque la Société détient également une certification DPF en cours de validité, les transferts de Données à transfert restreint vers la Société peuvent également être effectués dans le cadre du DPF, les CCT servant de mécanisme de secours, comme indiqué dans le présent paragraphe, et tous les paragraphes pertinents du DPF seront interprétés comme s’appliquant dans les deux sens.
4. En ce qui concerne le DPF, Expedia convient qu’elle offrira le même niveau de protection que celui requis par le DPF. Si la Société estime raisonnablement que nous ne protégeons pas les Données à transfert restreint conformément aux normes requises par le DPF, Expedia peut soit :
   1. s’appuyer sur les CCT énoncées au paragraphe (h) ci-dessous;
   2. si les CCT ne constituent pas une solution viable ou appropriée, proposer à la Société des mesures raisonnables et appropriées pour mettre fin à tout traitement non autorisé et y remédier, que nous mettrons en œuvre de bonne foi en déployant des efforts commercialement raisonnables; ou
   3. si les mécanismes de secours prévus aux paragraphes (i) ou (ii) ci-dessus ne sont pas viables, résilier la présente Entente entre les responsables du traitement et l’Accord sans pénalité.
5. Si la Société est certifiée dans le cadre du DPF, la Société se conformera aux principes de notification et aux principes de choix de DPF (tels que définis dans le DPF UE−États-Unis). Pour éviter toute ambiguïté, si la Société n’est pas certifiée DPF ou n’accède pas ou ne reçoit pas les Données à transfert restreint dans un pays jugé « adéquat » par la Commission européenne, les CCT seront alors utilisées pour les transferts de Données à transfert restreint d’Expedia vers la Société.
6. Les Parties conviennent qu’elles peuvent chacune divulguer la présente Entente entre les responsables du traitement et toute disposition pertinente en matière de confidentialité contenue dans l’Entente avec le ministère américain du Commerce (US Department of Commerce), la Federal Trade Commission, toute autorité européenne chargée de la protection des données ou tout autre organisme judiciaire ou réglementaire américain ou européen à leur demande, et que cette divulgation ne sera pas considérée comme une violation de la confidentialité.
7. Extension des CCT aux Pays de transfert non restreint : en ce qui concerne les transferts de Données personnelles pertinentes entre les Parties provenant d’un pays qui n’est pas un Pays de transfert restreint mais qui est soumis à des garanties qui, conformément à la Loi applicable en matière de protection des données, doivent être appliquées avant qu’un transfert de ces Données personnelles pertinentes puisse être effectué en dehors du pays d’origine (chacun étant un Pays de transfert non restreint), les Parties conviennent de ce qui suit :
   1. les CCT énoncées au paragraphe (h) ci-dessous sont réputées s’étendre à ces transferts supplémentaires dans la mesure où cette extension réputée satisfait aux garanties de ce pays particulier; et/ou
   2. lorsque les mesures énoncées au paragraphe (h) ci-dessous sont insuffisantes ou nécessitent des mesures supplémentaires, les Parties conviennent de prendre ces mesures supplémentaires, y compris, par exemple, la signature de documents pertinents, la collecte de consentements, le dépôt des documents requis, qui peuvent être nécessaires de temps à autre afin de satisfaire à la Loi applicable en matière de protection des données.
8. CCT : sous réserve des paragraphes précédents de la Clause 3.4, les Parties conviennent par les présentes de conclure les CCT qui sont incorporées par référence dans l’Accord sur une base inchangée, à l’exception des choix suivants :
   1. Lorsque la Société est située dans l’Espace économique européen ou dans un pays considéré comme « adéquat » conformément à l’article 45 du RGPD (Pays adéquat), le Module un (1) des CCT s’applique uniquement dans un seul sens, à savoir pour les transferts de la Société vers Expedia. Autrement, le Module un (1) s’applique dans les deux sens pour couvrir les transferts à la fois de la Société vers Expedia et d’Expedia vers la Société.
   2. Aux fins de la Clause 11(a) des CCT, le texte optionnel est supprimé.
   3. Aux fins de la Clause 13 des CCT, le paragraphe pertinent est « L’autorité de surveillance de l’État membre dans lequel le représentant au sens de l’article 27, paragraphe 1, du règlement (UE) 2016/679 est établi, comme qu’indiqué à l’Annexe I.C, agit en qualité d’autorité de surveillance compétente. »
   4. Aux fins de la Clause 17 des CCT, le droit applicable est celui de l’Irlande.
   5. Aux fins de la Clause 18(b) des CCT, la sélection est l’Irlande.

   6. Données à transfert restreint. Une nouvelle Clause 19 est ajoutée aux CCT afin de couvrir les transferts de données personnelles provenant du Royaume-Uni, de la Suisse, du Brésil, de l’Arabie saoudite ou de la Thaïlande vers un pays qui n’est pas considéré comme adéquat au regard de la Loi applicable en matière de protection des données du pays d’origine et qui n’est pas non plus exempté de l’obligation de conclure des clauses contractuelles types, comme suit :

      « Clause 19

      Transferts au Royaume-Uni, en Suisse, au Brésil, en Arabie saoudite et en Thaïlande

      Les Parties conviennent que les présentes Clauses s’étendent et s’appliquent, dans la mesure où elles concernent le transfert en question, aux transferts extraterritoriaux qui relèvent du champ d’application de la Loi de référence applicable à la protection de la vie privée (désignés dans la présente Clause comme des Transferts de référence). Aux fins de ces Transferts de référence, la loi applicable sera considérée comme étant la Loi applicable de référence pertinente, le choix du tribunal sera le Pays de référence, et l’Autorité de surveillance de référence sera l’autorité de surveillance compétente. Les Parties conviennent en outre que ces modifications supplémentaires seront considérées comme apportées aux Clauses relatives au Transfert de référence, dans la mesure où elles sont jugées nécessaires par l’Autorité de surveillance de référence pour se conformer aux Lois de référence applicables à la protection de la vie privée, et les Clauses seront interprétées conformément aux exigences relatives aux Transferts de référence découlant de ces lois ou telles qu’énoncées dans les directives émises par l’Autorité de surveillance de référence, sans que les Parties aient à conclure des clauses contractuelles types distinctes préparées spécifiquement pour leurs Transferts de référence. Les Parties prennent en outre toutes les mesures nécessaires pour assurer le respect des Lois de référence applicables à la protection de la vie privée lors des Transferts de référence.

      Pays	Loi de référence applicable à la protection de la vie privée (Reference Privacy Law)	Transfert de référence	Loi applicable de référence	Pays de référence	Autorité de surveillance de référence
      Royaume-Uni	Règlement général sur la protection des données du Royaume-Uni (UK GDPR) et Loi sur la protection des données de 2018 (Data Protection Act 2018)	Transfert depuis le Royaume-Uni	Royaume-Uni	Royaume-Uni	Information Commissioner’s Office (ICO)
      Suisse	Loi fédérale sur la protection des données (LPD)	Transfert depuis la Suisse	Suisse	Suisse	Préposé fédéral à la protection des données et à la transparence (PFPDT)
      Brésil	Loi brésilienne n° 13 709/18 relative à la protection générale des données (Lei Geral de Proteção de Dados)	Transfert depuis le Brésil	Brésil	Brésil	Autorité nationale brésilienne chargée de la protection des données (ANPD)
      Arabie saoudite	Loi saoudienne sur la protection des données personnelles (Personal Data Protection Law − PDPL)	Transfert depuis l’Arabie saoudite	Arabie saoudite	Arabie saoudite	Autorité saoudienne pour les données et l’intelligence artificielle (Saudi Authority for Data and Artificial Intelligence − SDAIA)
      Thaïlande	Loi saoudienne sur la protection des données personnelles (Personal Data Protection Law − PDPL)	Transfert depuis la Thaïlande	Thaïlande	Thaïlande	Personal Data Protection Committee (PDPC)

   7. toute référence à la Loi de référence applicable à la protection de la vie privée désigne les lois de référence telles que modifiées, complétées ou remplacées de temps à autre.
   8. toute référence à une Autorité de surveillance de référence désigne l’autorité mentionnée ou tout organisme qui lui succède.
   9. en ce qui concerne le Royaume-Uni, les dispositions de l’Addenda relatif au transfert international de données aux clauses contractuelles types de la Commission européenne s’appliquent telles qu’elles sont énoncées dans le formulaire joint en annexe. »

   10. Transferts depuis un pays tiers : une nouvelle Clause 20 est ajoutée afin de couvrir les transferts de données personnelles depuis tout autre pays non spécifié jusqu’à présent, lorsque les CCT peuvent être étendues afin de garantir des garanties appropriées pour les transferts de données personnelles provenant de ce pays vers une Partie située en dehors de ce pays, comme suit :

       « Clause 20

       Autres transferts depuis un pays tiers

       Les Parties conviennent que les présentes Clauses s’étendent et s’appliquent, dans la mesure où elles concernent le transfert en question, aux transferts transfrontaliers qui relèvent du champ d’application de toute autre loi ou réglementation applicable dans toute juridiction concernée, relative à l’utilisation ou au traitement des données personnelles (Lois applicables en matière de protection des données) exigeant des conditions et des protections largement équivalentes aux présentes Clauses afin de transférer des données personnelles de ce pays (désigné dans la présente Clause comme le Pays tiers) vers un autre (désigné dans la présente Clause comme un Transfert depuis un pays tiers). Aux fins de ces Transferts depuis un pays tiers, les lois applicables seront considérées comme étant celles du Pays tiers, le choix du tribunal compétent sera celui du Pays tiers et l’autorité de protection des données ou tout autre organisme de réglementation compétent de ce pays sera l’autorité de surveillance compétente. Les Parties conviennent en outre que ces modifications supplémentaires seront considérées comme apportées aux Clauses relatives au Transfert depuis un pays tiers, dans la mesure où elles sont jugées nécessaires par ladite autorité de surveillance pour se conformer à la Loi applicable en matière de protection des données dudit Pays tiers, et les Clauses seront interprétées conformément aux exigences relatives aux Transferts depuis un pays tiers découlant de ces lois ou telles qu’énoncées dans les directives émises par l’autorité de surveillance compétente, sans que les Parties aient à conclure des clauses contractuelles types distinctes préparées spécifiquement pour leurs Transferts depuis un pays tiers. Les Parties prennent en outre toutes les mesures nécessaires pour assurer le respect de la ou des Lois applicables en matière de protection des données lors des Transferts depuis un pays tiers. »

1.8 Aux fins des CCT : :

L’Annexe un (1) (Aperçu du traitement des CCT) de la présente Partie cinq (5) (Aperçu du traitement de l’Entente entre les responsables du traitement) constitue l’Annexe un (1) des CCT;

1. Dans le cas où la Société est l’importateur de données dans le cadre des CCT, la Partie deux (2) (Mesures de sécurité) et la Partie trois (3) (Continuité des activités) des Exigences constitueront l’Annexe deux (2) (Mesures techniques et organisationnelles) des CCT en ce qui concerne la Société; et
2. Dans le cas où Expedia est l’importateur de données dans le cadre des CCT, l’Annexe deux (2) (Mesures techniques et organisationnelles) de la présente Partie cinq (5) constituera l’Annexe deux (2) (Mesures techniques et organisationnelles) des CCT en ce qui concerne Expedia.

1.9 OBLIGATIONS SUPPLÉMENTAIRES:

1. Aux fins exclusives du présent Article 1.9, les termes « accès », « en masse », « pays concerné », « transaction de données couvertes », « personne couverte », « données personnelles sensibles » et « personne américaine » ont la signification qui leur est attribuée dans le titre 28 du Code of Federal Regulations (CFR), partie 202 (« Règles du département de la Justice des États-Unis relatives aux données sensibles en masse »).
2. Sans porter atteinte aux autres obligations de la Société en vertu de l’Accord, dans la mesure où la Société reçoit, obtient ou traite de toute autre manière des données personnelles sensibles relatives à des personnes américaines dans le cadre de l’Accord, la Société s’engage à :
3. ne pas transférer ou transférer ultérieurement ces données personnelles sensibles à une personne couverte ou un pays concerné,
   1. ni permettre à ceux-ci d’y avoir accès; ni
   2. à aucun sous-traitant, société affiliée ou tiers, sauf si des protections contractuelles équivalentes à celles prévues dans la présente clause sont en place;
4. ne pas s’engager dans toute autre activité ou conduite qui entraînerait une violation des Règles du département de la Justice des États-Unis relatives aux données sensibles en masse par Expedia ou la Société; et
5. signaler rapidement à Expedia toute violation connue ou présumée de la présente clause.
6. La Société confirme que, aux fins des présentes Exigences, elle se conforme aux dispositions du titre 28 du CFR, partie 202, ainsi qu’à toute autre interdiction, restriction ou disposition applicable aux données soumises aux présentes Exigences. La Société s’engage à certifier sa conformité aux dispositions du titre 28 du CFR, partie 202, à Expedia, sur demande raisonnable. La Société s’engage à ne pas contourner, enfreindre ou tenter d’enfreindre les interdictions énoncées dans le décret n° 14117 ou dans le titre 28 du CFR, partie 202.

1.10 DURÉE ET RÉSILIATION.:

1. La présente Entente entre les responsables du traitement restera pleinement en vigueur tant que l’Accord restera en vigueur.
2. Toute disposition de la présente Entente entre les responsables du traitement qui, expressément ou implicitement, devrait entrer en vigueur ou rester en vigueur à compter de la résiliation de l’Entente afin de protéger les Données personnelles du responsable du traitement restera pleinement en vigueur.

ANNEXE I – APERÇU DU TRAITEMENT DES CCT

MODULE UN : de responsable du traitement à responsable du traitement (de vous à nous)

A. LISTE DES PARTIES

Exportateur(s) de données :

Importateur(s) de données:

B. DESCRIPTION DU TRANSFERT

C. AUTORITÉ DE SURVEILLANCE COMPÉTENTE

Déterminez la ou les autorité(s) de surveillance compétente(s) conformément à la clause 13 des CCT

Autorité de protection des données de l’Irlande

MODULE UN : entre les responsables du traitement (de nous à vous)

A. LISTE DES PARTIES

Exportateur(s) de données : 

La ou les parties désignées comme importateurs de données dans le module un (1) (de vous à nous) ci-dessus. Consultez les détails ci-dessus.

Importateur(s) de données :

La ou les parties désignées comme exportateur(s) de données dans le module un (1) (de vous à nous) ci-dessus. Consultez les détails ci-dessus.

B. DESCRIPTION DES TRANSFERTS

C. AUTORITÉ DE SURVEILLANCE COMPÉTENTE

Selon le module un (1)

ANNEXE II – MESURES TECHNIQUES ET ORGANISATIONNELLES 

Les mesures techniques et organisationnelles qui s’appliquent aux fins du module un (1) sont décrites ci-dessous.

Addenda sur le transfert international de données aux clauses contractuelles types de la Commission européenne (Addenda)

Cet Addenda a été publié par le Commissaire à l’information pour les Parties effectuant des Transferts restreints. Le Commissaire à l’information considère qu’il offre des mesures de sécurité appropriées pour les Transferts restreints lorsqu’ils sont conclus sous la forme d’un contrat juridiquement contraignant.

Partie 1 Tableaux

Part 2: clauses obligatoires

Clauses obligatoires de l’Addenda approuvé, étant le modèle d’Addenda B.1.0 émis par l’ICO et déposé devant le Parlement conformément à l’article 119A du Data Protection Act 2018 le 2 février 2022, tel qu’il est révisé en vertu de l’article 18 de ces Clauses obligatoires.

Dernière mise à jour : 1er janvier 2026