Accord de traitement des données

Codelaw SRL — Avenue Adolphe Chapelle 1, 4500 Huy — BCE 0785.383.957 — RPM Liège, division Huy

Préambule

Le présent Accord de Traitement des Données (ci-après l'« ATD » ou l'« Accord ») fait partie intégrante du Contrat conclu entre Codelaw SRL et le Client pour la fourniture des Services Lidia. Il est accepté par la signature du Bon de Commande ou de la Convention Particulière.

Il est conclu conformément à l'article 28 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le « RGPD »).

Dans le cadre des Services Lidia, Codelaw traite des données à caractère personnel pour le compte du Client. Le présent Accord définit les obligations respectives des Parties en la matière. Les termes définis dans les Conditions Générales de Service Lidia (ci-après les « CGS ») conservent la même signification, sauf définition contraire.

Article 1 — Définitions

En complément des définitions des CGS et du RGPD :

« Autorité de Contrôle » : toute autorité publique indépendante chargée de surveiller l'application du RGPD, en particulier l'Autorité de protection des données belge (APD).

« Données Personnelles » : toute information se rapportant à une personne physique identifiée ou identifiable au sens de l'article 4.1 du RGPD, traitée dans le cadre des Services.

« Violation de Données » : toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données Personnelles ou l'accès non autorisé à celles-ci.

« Responsable du Traitement » : le Client, qui détermine les finalités et les moyens du traitement.

« Sous-traitant » : Codelaw SRL, qui traite les Données Personnelles pour le compte du Responsable du Traitement.

« Sous-traitant Ultérieur » : tout prestataire engagé par Codelaw pour effectuer des opérations de traitement spécifiques pour le compte du Client.

« Personnes Concernées » : les personnes physiques dont les Données Personnelles sont traitées dans le cadre des Services, identifiées à l'article 3.

Article 2 — Objet et champ d'application

2.1 Objet

Le présent Accord définit les conditions dans lesquelles Codelaw, en qualité de Sous-traitant, traite les Données Personnelles pour le compte du Client, Responsable du Traitement, dans le cadre des Services Lidia.

2.2 Durée

Le présent Accord s'applique pendant toute la durée du Contrat. Les obligations relatives à la restitution et à la suppression des données (article 9) et à la confidentialité (article 14) survivent à la fin du Contrat.

2.3 Hiérarchie

En cas de contradiction entre le présent Accord et les CGS, le présent Accord prévaut pour ce qui concerne la protection des Données Personnelles. Pour toute autre matière, les CGS prévalent.

Article 3 — Description du traitement

3.1 Finalités

Les Données Personnelles sont traitées par Codelaw exclusivement aux fins suivantes :

• hébergement et gestion technique du site web du Client ;
• gestion des formulaires du site (contact, demande d'offre, déclaration de sinistre) et des formulaires envoyés individuellement par le Client ;
• réception, stockage et mise à disposition des documents transmis via les liens sécurisés d'envoi et de dépôt ;
• gestion des conversations de messagerie professionnelle (WhatsApp) activées par le Client ;
• envoi de newsletters et de campagnes relationnelles à partir des listes de contacts gérées par le Client ;
• mise à disposition d'outils de conformité anti-blanchiment (évaluation des risques, consultation de listes et de personnes politiquement exposées) utilisés par le Client ;
• alimentation de la page du Client sur l'annuaire du réseau Brocom, lorsque le Client utilise ce service ;
• création, optimisation et publication de contenus au moyen des outils d'intelligence artificielle, y compris sur les réseaux sociaux du Client ;
• suivi statistique du site (audience, performances, référencement) ;
• maintenance, sécurité et conformité technique ;
• gestion de la relation contractuelle et support.

3.2 Catégories de Données Personnelles

• Données d'identification et de contact : nom, prénom, adresse e-mail, numéro de téléphone ;
• Données de navigation : adresse IP, données de cookies et de session, statistiques de consultation ;
• Données de formulaires et de documents : informations et pièces communiquées par les visiteurs, prospects et clients du Client (description d'un sinistre, demande d'offre, renseignements contractuels, documents déposés) ;
• Données de messagerie : contenu des conversations WhatsApp, pièces jointes et métadonnées associées ;
• Données de campagnes : listes de contacts, inscriptions et désinscriptions, statistiques d'ouverture et de clic ;
• Données de vérification de conformité : données d'identification des clients ou prospects soumises par le Client aux outils anti-blanchiment et résultats de ces vérifications ;
• Données de contenu : textes, images et métadonnées du site et du blog du Client ;
• Données d'accès : identifiants des Utilisateurs de la Plateforme ;
• Données de publication sur les réseaux sociaux : contenus publiés et statistiques d'engagement.

3.3 Personnes Concernées

• les visiteurs et prospects du site du Client ;
• les clients et assurés du Client qui remplissent un formulaire, déposent un document ou échangent par messagerie ;
• les destinataires des newsletters et campagnes du Client ;
• les Utilisateurs de la Plateforme (collaborateurs du Client) ;
• les abonnés des pages de réseaux sociaux du Client ;
• toute personne physique dont les données figurent dans le contenu du site.

3.4 Durée de conservation

Codelaw conserve les Données Personnelles pendant la durée du Contrat. Les données issues des formulaires sont conservées selon la politique de conservation définie par le Client dans la Plateforme et, à défaut, pendant vingt-quatre (24) mois au plus à compter de leur collecte, sauf instruction contraire du Client.

Les données de navigation et les journaux techniques sont conservés pendant treize (13) mois au plus, conformément aux recommandations de l'Autorité de protection des données.

3.5 Lieu du traitement

Les Données Personnelles sont hébergées dans l'Espace économique européen (EEE). Les Sous-traitants Ultérieurs susceptibles de traiter des données en dehors de l'EEE sont identifiés à l'Annexe 1 ; les transferts correspondants sont encadrés conformément à l'article 7.4.

Article 4 — Obligations de Codelaw

Codelaw s'engage à :

1. traiter les Données Personnelles uniquement sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers, sauf obligation imposée par le droit de l'Union ou le droit belge, auquel cas Codelaw en informe préalablement le Client, sauf interdiction légale ;
2. veiller à ce que les personnes autorisées à traiter les Données Personnelles soient soumises à une obligation de confidentialité ;
3. prendre les mesures requises par l'article 32 du RGPD, décrites à l'article 5 ;
4. respecter les conditions des articles 7 et suivants pour le recours à des Sous-traitants Ultérieurs ;
5. aider le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à donner suite aux demandes d'exercice des droits des Personnes Concernées ;
6. aider le Client à respecter les obligations prévues aux articles 32 à 36 du RGPD ;
7. au choix du Client, supprimer ou restituer les Données Personnelles au terme des Services, conformément à l'article 9 ;
8. mettre à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord et permettre la réalisation d'audits, conformément à l'article 8 ;
9. informer immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou du droit belge relative à la protection des données.

Article 5 — Mesures techniques et organisationnelles

5.1 Principes

Codelaw met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD, et applique les principes de protection des données dès la conception et par défaut.

5.2 Mesures

Sans préjudice de leur évolution au regard de l'état de l'art, ces mesures comprennent notamment :

• le chiffrement des données en transit (TLS 1.2 au minimum) ;
• l'authentification des accès, la gestion des droits selon le principe du moindre privilège et la journalisation des accès ;
• des sauvegardes régulières stockées dans l'EEE ;
• l'isolation logique des données de chaque Client ;
• l'application régulière des correctifs de sécurité ;
• la surveillance de l'infrastructure et de sa disponibilité ;
• la sensibilisation du personnel de Codelaw à la protection des données et à la sécurité de l'information.

5.3 Référentiel

Codelaw s'engage à aligner ses pratiques de sécurité sur le référentiel CyberFundamentals du Centre pour la Cybersécurité Belgique (CCB).

Article 6 — Notification des Violations de Données

6.1 Délai

Codelaw notifie au Client toute Violation de Données dans un délai maximum de quarante-huit (48) heures après en avoir pris connaissance, par écrit, au contact désigné par le Client.

6.2 Contenu

La notification décrit au minimum :

1. la nature de la Violation, y compris, si possible, les catégories et le nombre approximatif de Personnes Concernées et d'enregistrements concernés ;
2. le nom et les coordonnées du point de contact chez Codelaw ;
3. les conséquences probables de la Violation ;
4. les mesures prises ou proposées pour y remédier, y compris pour en atténuer les effets.

6.3 Assistance

Codelaw assiste le Client dans ses obligations de notification à l'Autorité de Contrôle (article 33 du RGPD) et de communication aux Personnes Concernées (article 34 du RGPD).

6.4 DORA

Pour les Clients soumis au règlement (UE) 2022/2554 (DORA), Codelaw notifie tout incident majeur lié aux TIC dans un délai de vingt-quatre (24) heures, conformément à l'article 17 des CGS.

Article 7 — Sous-traitants Ultérieurs

7.1 Autorisation générale

Le Client autorise de manière générale Codelaw à recourir à des Sous-traitants Ultérieurs. La liste en vigueur figure à l'Annexe 1.

7.2 Information et droit d'opposition

Codelaw informe le Client par écrit de tout projet d'ajout ou de remplacement d'un Sous-traitant Ultérieur au moins trente (30) jours avant la modification, en précisant son identité, la nature du traitement confié, le lieu de traitement des données et les garanties offertes.

Le Client dispose de quinze (15) jours à compter de cette information pour formuler une objection motivée. Les Parties se concertent alors de bonne foi. À défaut de solution dans les trente (30) jours suivant l'objection, le Client peut résilier le Contrat sans pénalité.

7.3 Obligations des Sous-traitants Ultérieurs

Codelaw impose contractuellement à chaque Sous-traitant Ultérieur des obligations de protection des données au moins équivalentes à celles du présent Accord et demeure pleinement responsable envers le Client de leur exécution.

7.4 Transferts hors EEE

Les Données Personnelles ne sont transférées en dehors de l'EEE que si le pays de destination bénéficie d'une décision d'adéquation de la Commission européenne (y compris, pour les États-Unis, le cadre de protection des données UE–États-Unis pour les entreprises certifiées), ou si des garanties appropriées sont mises en place, notamment les clauses contractuelles types adoptées par la Commission européenne.

Article 8 — Audit

8.1 Principe

Codelaw met à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord et de l'article 28 du RGPD, et permet la réalisation d'audits.

8.2 Modalités

Le Client peut réaliser ou faire réaliser par un auditeur indépendant tenu à la confidentialité un audit des traitements effectués par Codelaw, aux conditions suivantes :

• notification écrite au moins vingt (20) jours ouvrables à l'avance ;
• un audit au plus par période de douze (12) mois, sauf Violation de Données ou demande de l'Autorité de Contrôle ;
• réalisation pendant les heures ouvrables, de manière à limiter les perturbations ;
• absence d'accès aux données d'autres clients de Codelaw ;
• frais à charge du Client, sauf si l'audit révèle un manquement de Codelaw.

8.3 Certifications

Le Client peut tenir compte, en lieu et place d'un audit, des certifications ou attestations pertinentes dont Codelaw disposerait, pour autant qu'elles couvrent les traitements visés par le présent Accord.

Article 9 — Sort des données en fin de Contrat

9.1 Restitution

Au terme du Contrat, et dans le délai de réversibilité prévu à l'article 12 des CGS, le Client peut demander la restitution de ses Données Personnelles dans un format structuré, couramment utilisé et lisible par machine (CSV, JSON, SQL ou tout format convenu).

9.2 Suppression

Au terme du délai de réversibilité, Codelaw supprime de manière définitive et sécurisée les Données Personnelles du Client, y compris les copies de sauvegarde, dans le délai prévu à l'article 12.4 des CGS, sauf obligation légale de conservation. Codelaw délivre sur demande une attestation de suppression.

9.3 Exception légale

Lorsque la conservation de certaines données est imposée par le droit de l'Union ou le droit belge, Codelaw informe le Client des données concernées, de la base légale et de la durée de conservation. Ces données ne sont traitées qu'aux fins imposées par la loi.

Article 10 — Secret professionnel

10.1 Clients soumis au secret professionnel

Lorsque le Client est un avocat ou un autre professionnel soumis au secret professionnel au sens de l'article 458 du Code pénal :

1. Codelaw n'accède pas au contenu des données couvertes par le secret professionnel, sauf instruction expresse et documentée du Client ;
2. l'accès technique aux données est limité aux opérations de maintenance, de sauvegarde et de sécurité nécessaires aux Services, sans consultation du contenu ;
3. Codelaw veille à ce que ses Sous-traitants Ultérieurs soient tenus à des obligations de confidentialité compatibles avec le secret professionnel ;
4. en cas de réquisition judiciaire ou de demande d'une autorité publique portant sur ces données, Codelaw en informe immédiatement le Client, sauf interdiction légale, et s'abstient de les communiquer jusqu'à ce que le Client ait pu faire valoir ses droits.

10.2 Règles déontologiques

Le Client soumis au secret professionnel vérifie que son utilisation des Services, et notamment des outils d'intelligence artificielle, est conforme aux règles déontologiques de sa profession (notamment les règlements de l'OBFG et de l'OVB pour les avocats).

Article 11 — Traitements liés à l'intelligence artificielle

11.1 Nature des traitements

Pour les fonctionnalités d'intelligence artificielle (rédaction assistée, génération d'images, optimisation du référencement, publications sur les réseaux sociaux), Codelaw recourt à des fournisseurs de modèles identifiés à l'Annexe 1.

11.2 Garanties

Codelaw s'engage à ce que :

1. les données transmises aux fournisseurs d'IA via leurs interfaces de programmation ne soient pas utilisées pour l'entraînement de leurs modèles, conformément aux conditions contractuelles de ces fournisseurs ;
2. les requêtes envoyées aux fournisseurs d'IA soient minimisées et ne contiennent pas de Données Personnelles, sauf nécessité inhérente au Service demandé par le Client ;
3. lorsque des données traitées par les outils d'IA sont transférées en dehors de l'EEE, ces transferts soient encadrés conformément à l'article 7.4 et les fournisseurs concernés identifiés à l'Annexe 1 ;
4. la Plateforme permette au Client de relire et de valider les contenus générés avant leur mise en diffusion, le Client restant responsable de cette relecture conformément à l'article 6.3 des CGS.

11.3 Règlement sur l'IA

Codelaw respecte les obligations qui lui incombent en vertu du règlement (UE) 2024/1689 sur l'intelligence artificielle, notamment l'article 50 relatif au marquage des contenus de synthèse, tel que précisé à l'article 6.3 des CGS.

Article 12 — Obligations du Client

En sa qualité de Responsable du Traitement, le Client s'engage à :

1. disposer d'une base juridique valable au sens de l'article 6 du RGPD pour chaque traitement, en particulier pour l'envoi de newsletters et de communications commerciales ;
2. informer les Personnes Concernées conformément aux articles 13 et 14 du RGPD, notamment par la politique de confidentialité de son site ;
3. répondre aux demandes d'exercice des droits des Personnes Concernées, avec l'assistance de Codelaw si nécessaire ;
4. ne pas transmettre à Codelaw de données relevant des catégories particulières de l'article 9 du RGPD, sauf accord écrit préalable de Codelaw et mesures de protection renforcées ;
5. désigner un point de contact pour la gestion des incidents de sécurité ;
6. mettre en place, sur son propre périmètre, les mesures de sécurité nécessaires (gestion des accès à la Plateforme, mots de passe, sensibilisation des Utilisateurs).

Article 13 — Droits des Personnes Concernées

Codelaw assiste le Client dans la gestion des demandes d'exercice des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (articles 15 à 21 du RGPD), notamment en lui fournissant les données traitées, en procédant aux corrections et suppressions demandées et en mettant les données à disposition dans un format structuré.

Le Client reste le point de contact des Personnes Concernées. Codelaw lui transmet sans délai toute demande reçue directement d'une Personne Concernée.

Article 14 — Confidentialité

Les obligations de confidentialité de l'article 14 des CGS s'appliquent au présent Accord. Codelaw limite l'accès aux Données Personnelles aux seuls membres de son personnel qui en ont besoin pour l'exécution des Services.

Article 15 — Accès des autorités de pays tiers

Si Codelaw reçoit une demande juridiquement contraignante d'une autorité publique d'un pays tiers, ou prend connaissance d'un accès direct par une telle autorité aux Données Personnelles, elle :

1. en informe le Client sans retard injustifié, avec toutes les informations dont elle dispose ;
2. fait ses meilleurs efforts pour obtenir la levée d'une éventuelle interdiction de notification ;
3. documente ses démarches et les met à la disposition du Client ;
4. conteste la demande si elle est disproportionnée ou contraire aux principes du droit de l'Union.

Article 16 — Dispositions générales

16.1 Registre

Conformément à l'article 30.2 du RGPD, Codelaw tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients.

16.2 Points de contact

Codelaw SRL : privacy@codelaw.be, ou par courrier au siège social.

Client : le point de contact désigné dans le Bon de Commande ou la Convention Particulière.

16.3 Modifications

Toute modification du présent Accord fait l'objet d'un avenant écrit, sans préjudice de la mise à jour de l'Annexe 1 selon la procédure de l'article 7.2.

16.4 Divisibilité

La nullité d'une disposition du présent Accord n'affecte pas les autres dispositions.

16.5 Droit applicable et juridiction

Le présent Accord est régi par le droit belge. Tout litige relatif à son interprétation ou à son exécution relève de la compétence exclusive des tribunaux de l'arrondissement judiciaire de Liège, division Huy.

Annexe 1 — Sous-traitants Ultérieurs

Liste en vigueur au 22 octobre 2026.

Toute modification de cette liste est notifiée au Client conformément à l'article 7.2.