Annexe relative aux clauses contractuelles types de Cal.com
Annexe à l’accord de traitement des données de Cal.com v2.3 — Version 1.0 — Date d’entrée en vigueur : 1er novembre 2026
Partie 1. Application des Clauses
1.1 La présente Annexe complète les clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers adoptées par la décision d’exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021 (les « CCT »), l’Addendum britannique sur les transferts internationaux de données aux clauses contractuelles types de la Commission européenne, version B1.0, en vigueur le 21 mars 2022 (l’« Addendum britannique »), ainsi que les modifications requises par le Préposé fédéral suisse à la protection des données et à la transparence pour les transferts soumis à la loi fédérale suisse sur la protection des données (les « Modifications suisses »), chacun étant incorporé par le §12.4 de l’accord de traitement des données de Cal.com (le « DPA »).
1.2 Le texte des CCT est incorporé par référence exactement tel que publié au Journal officiel de l’Union européenne (JO L 199, 7.6.2021, p. 31), disponible à l’adresse https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Partie 2 : les Clauses obligatoires de l’Addendum approuvé, à savoir le modèle d’Addendum B.1.0 publié par l’ICO et déposé devant le Parlement conformément à la s119A du Data Protection Act 2018 le 2 février 2022, tel que révisé en vertu de la section 18 de ces Clauses obligatoires. Aucun des deux textes n’est modifié, sauf au moyen des options, choix et Annexes que les CCT et l’Addendum britannique autorisent eux-mêmes, comme indiqué dans la présente Annexe.
1.3 Les CCT s’appliquent aux transferts décrits à l’Annexe I.B qui relèvent de leur champ d’application autorisé et nécessitent ces garanties parce qu’aucun autre mécanisme de transfert valide au titre du DPA §12.2 ne couvre le transfert. Une décision d’adéquation valide et applicable, y compris une décision couvrant la participation de Cal.com au Data Privacy Framework applicable, peut être invoquée pour les transferts relevant de son champ d’application. Les obligations existantes au titre des CCT ne s’éteignent pas automatiquement ; toute résiliation ou révocation doit être conforme aux CCT et à l’Addendum britannique applicables. Les droits acquis ne sont pas affectés.
1.4 Les Parties concluent les CCT par l’exécution valable de l’Annexe I.A complétée, y compris au moyen d’une signature électronique juridiquement valable intégrée à l’Accord ou au DPA. Le dossier d’exécution doit identifier les Parties, la version applicable de l’Annexe et la date d’entrée en vigueur. Sur demande, Cal.com fournira une copie de la version liant les Parties.
1.5 Les termes définis dans le DPA ont le même sens ici. Le « Client » est l’exportateur de données et « Cal.com » est l’importateur de données. En cas de conflit entre la présente Annexe et les CCT, les CCT prévalent (DPA §12.4(j)) ; en cas de conflit entre la présente Annexe et le DPA sur un point que les CCT laissent aux Parties, la présente Annexe prévaut.
Partie 2. Modules, options et choix
| Clause | Choix | Base dans le DPA |
|---|---|---|
| Module | Module deux (responsable du traitement à sous-traitant) lorsque le Client est Responsable du traitement des Données à caractère personnel du Client. Module trois (sous-traitant à sous-traitant) lorsque le Client est lui-même un Sous-traitant agissant pour un Responsable du traitement tiers. Seules les clauses du Module applicable s’appliquent. | §12.4(a) |
| Clause 7 — Clause d’adhésion | S’applique. Une entité peut adhérer en tant qu’exportateur de données ou importateur de données avec l’accord des Parties en complétant l’Appendice et en signant l’Annexe I.A. | §12.4(b) |
| Clause 8.1 (Module trois) — Instructions | Le Client garantit qu’il détient l’autorité et les instructions de chaque Responsable du traitement nécessaires pour désigner Cal.com au titre du Module trois et pour transmettre ces instructions. Les instructions sont traitées conformément à la Clause 8.1 du Module trois, y compris les instructions du Responsable du traitement communiquées par l’intermédiaire du Client et toute instruction documentée supplémentaire autorisée par cette Clause. | §12.4(a), §3 |
| Clause 8.5 — Durée du traitement et effacement | Le traitement se poursuit pendant la durée indiquée à l’Annexe I.B. À la fin des services de traitement, le Client peut choisir la restitution des données à caractère personnel suivie de la suppression des copies existantes, ou la suppression avec attestation au Client, conformément à la Clause 8.5. Le DPA §10 ne s’applique que dans la mesure compatible avec cette Clause. La protection se poursuit jusqu’à ce que la restitution ou la suppression soit achevée ; la conservation légalement requise est régie par la Clause 8.5. | §10 |
| Clause 8.6 — Sécurité | Les mesures techniques et organisationnelles sont celles de l’Annexe II. La notification d’une violation de Données à caractère personnel suit le DPA §8. | §5, §8 |
| Clause 8.9 — Documentation et conformité (audits) | Les droits d’audit sont exercés comme décrit au DPA §11 (informations et rapports de conformité en premier lieu, audit sur site ou à distance lorsque ceux-ci sont insuffisants ou lorsqu’une autorité de contrôle l’exige). Ceci décrit la manière dont le droit d’audit prévu à la Clause 8.9 est exercé et ne le restreint pas. | §11 |
| Clause 9(a) — Recours à des sous-traitants ultérieurs | Option 2 : autorisation écrite générale. Délai de notification : préavis écrit avant qu’un nouveau Sous-traitant ultérieur ou un remplaçant commence le traitement, donné aussi tôt que raisonnablement possible afin que l’exportateur de données dispose d’un délai suffisant pour s’y opposer (DPA §6.3). Les Parties conviennent que ce délai est celui applicable aux fins de la Clause 9(a). La liste des Sous-traitants ultérieurs est la Liste des Sous-traitants ultérieurs en vigueur à l’adresse trust.cal.com, mentionnée à l’Annexe III. Le droit d’opposition du Client est celui prévu au DPA §6.4. | §12.4©, §6.3–6.4 |
| Clause 11(a) — Recours | Le libellé facultatif relatif à l’organisme indépendant de règlement des litiges ne s’applique pas. Les personnes concernées peuvent déposer des réclamations auprès de Cal.com à l’adresse [email protected], auprès de l’autorité de contrôle compétente et devant les tribunaux conformément à la Clause 18. | §12.4(d) |
| Clause 13 — Contrôle | L’autorité de contrôle compétente est déterminée en vertu de la Clause 13(a), comme indiqué à l’Annexe I.C. | §12.4(e) |
| Clause 15 — Accès par les autorités publiques | Les Clauses 15.1 et 15.2 régissent l’accès des autorités publiques aux données à caractère personnel transférées au titre des CCT. Le DPA §13.1 confirme la conformité de Cal.com à ces Clauses et ne les limite pas. | §13.1 |
| Clause 17 — Droit applicable | Option 1. Les CCT sont régies par le droit irlandais. | §12.4(f) |
| Clause 18(b) — Juridiction | Les tribunaux d’Irlande. La Clause 18© (droit de la personne concernée d’intenter une action dans l’État membre de sa résidence habituelle) n’est pas affectée. | §12.4(f) |
| Responsabilité (Clause 12) | Rien dans le DPA ni dans l’Accord ne limite la responsabilité de l’une ou l’autre Partie envers les personnes concernées au titre des SCCs (DPA §15). Les limitations de responsabilité de l’Accord n’excluent ni ne limitent la responsabilité régie par la Clause 12 des SCCs. La responsabilité pour les autres réclamations reste régie par l’Accord, sous réserve du droit impératif applicable. | §15 |
Partie 3. Annexe I
A. Liste des Parties
Exportateur de données
| Élément | Détails |
|---|---|
| Nom | Le Client identifié dans l’Accord (l’entité ou la personne titulaire du compte Cal.com) |
| Adresse | Telle qu’enregistrée dans le compte Cal.com du Client ou dans le Bon de commande |
| Contact | Le nom, la fonction et les coordonnées de la personne de contact enregistrés dans l’Accord, le Bon de commande ou le compte Client et intégrés à la présente Annexe. |
| Activités relatives au transfert | Utilisation des Services Cal.com pour proposer, planifier, gérer et tenir des réunions et communications associées avec les utilisateurs du Client, les participants aux réunions et les autres Personnes concernées décrites à l’Annexe I.B |
| Rôle | Module Deux : responsable du traitement. Module Trois : sous-traitant (agissant pour le compte des Responsables du traitement qui donnent des instructions au Client) |
| Signature et date | Telles qu’enregistrées dans le dossier d’exécution intégrant l’Annexe I.A complétée au titre de la Partie 1.4 |
Importateur de données
| Élément | Détails |
|---|---|
| Nom | Cal.com, Inc. |
| Adresse | 2261 Market Street #4382, San Francisco, CA 94114, United States |
| Contact | Felix Kolodziej, Responsable de la sécurité de l’information (ISO), [email protected] (À l’attention de : Confidentialité) |
| Activités relatives au transfert | Fourniture, exploitation, support, maintenance, sécurité et amélioration des Services Cal.com tels que décrits à l’Annexe I.B |
| Rôle | Sous-traitant (Module Deux) ; sous-traitant ultérieur du Client en tant que sous-traitant (Module Trois) |
| Signature et date | Telles qu’enregistrées dans le dossier d’exécution intégrant l’Annexe I.A complétée au titre de la Partie 1.4 |
B. Description du transfert
| Élément | Détails |
|---|---|
| Catégories de personnes concernées | Utilisateurs, administrateurs, employés et prestataires du Client ; prospects, clients et autres contacts du Client ; participants aux réunions, personnes effectuant une réservation et invités ; et autres personnes dont le Client ou ses Utilisateurs autorisés soumettent les données personnelles aux Services (Annexe 1 du DPA) |
| Catégories de données personnelles | Données de compte et de profil ; données de disponibilité ; noms, adresses e-mail, numéros de téléphone ; données de réservation, y compris titres, descriptions, horaires, lieux, notes, listes d’invités, réponses aux questions de réservation et motifs de replanification ou d’annulation ; données de support ; données techniques telles que l’adresse IP, les données de l’appareil et du navigateur, et les journaux d’utilisation ; et autres données personnelles que le Client choisit de soumettre via les Services |
| Données sensibles | Aucune catégorie particulière de données personnelles n’est requise pour utiliser les Services. Le Client ne peut les soumettre que via les champs qu’il configure (par exemple les questions de réservation) ; le cas échéant, les mesures de l’Annexe II s’appliquent. Le Client est responsable de l’établissement de la base légale requise et de toute condition applicable au traitement des catégories particulières de données personnelles. Les Informations de santé protégées nécessitant un Business Associate Agreement ne peuvent être soumises que dans le cadre d’un BAA signé couvrant les Services concernés. Toute autorisation figurant ailleurs dans l’Accord ne remplace pas un BAA requis |
| Fréquence du transfert | Continue, pendant la durée de l’Accord |
| Nature du traitement | Collecte, stockage, organisation, récupération, consultation, utilisation, transmission sur instruction du Client, support, surveillance de la sécurité, sauvegarde, restauration, suppression et autres traitements nécessaires à la fourniture des Services |
| Finalité du transfert et du traitement ultérieur | Fournir au Client des fonctionnalités de planification, de réservation, de compte, de communication, de vidéo, d’intégration, de support et des fonctionnalités produit associées, conformément à l’Accord et aux instructions documentées du Client |
| Durée de conservation | Pendant la durée des services de traitement, puis uniquement dans la mesure nécessaire pour achever la restitution ou la suppression requise par la Clause 8.5, ou pour la conservation requise par la loi comme l’autorise cette Clause. Informations sur la conservation : au moins 30 jours pour l’export après résiliation (DPA §10.2) ; suppression normalement dans les 90 jours suivant cette période (DPA §10.3) ; copies de sauvegarde supprimées selon le calendrier ordinaire de conservation des sauvegardes de Cal.com et protégées jusque-là (DPA §10.4) |
| Transferts à des (sous-)traitants | Objet, nature et durée : les Sous-traitants ultérieurs figurant sur la liste des Sous-traitants ultérieurs à l’adresse trust.cal.com (Annexe III) traitent les Données personnelles du Client aux fins qui y sont indiquées (hébergement et stockage, diffusion de contenu, livraison d’e-mails et de SMS, vidéo, paiements, outils de support, analyse produit, fonctionnalités d’IA et opérations internes), pendant la durée de Cal.com concernant l’engagement de chaque Sous-traitant ultérieur pendant la durée du Contrat |
C. Autorité de contrôle compétente
| Situation | Autorité de contrôle compétente |
|---|---|
| Le Client est établi dans un État membre de l’EEE | L’autorité de contrôle de cet État membre (Clause 13(a), premier paragraphe) |
| Le Client n’est pas établi dans l’EEE mais dispose d’un représentant au titre de l’article 27(1) du GDPR | L’autorité de contrôle de l’État membre dans lequel le représentant est établi |
| Le Client n’est pas établi dans l’EEE, est soumis à l’article 3(2) du GDPR et est exempté de la désignation d’un représentant au titre de l’article 27(2) du GDPR | L’autorité de contrôle de l’État membre dans lequel se trouvent les personnes concernées dont les données sont transférées, comme déterminé au titre de la Clause 13(a), troisième paragraphe |
| Transferts soumis au GDPR britannique | L’Information Commissioner du Royaume-Uni (voir Partie 6) |
| Transferts soumis à la LPD suisse | Le Préposé fédéral suisse à la protection des données et à la transparence (voir Partie 7) |
L’autorité de contrôle compétente spécifiquement déterminée au titre de la Clause 13(a) est indiquée dans les informations propres au Client intégrées à cette Annexe.
Partie 4. Annexe II — Mesures techniques et organisationnelles
La présente Annexe décrit les mesures que Cal.com met en œuvre au titre du DPA §5 et de la Clause 8.6. Elle est structurée selon les intitulés de l’Annexe II des CCT. Cal.com peut mettre à jour ces mesures au titre du DPA §5.3, à condition que la sécurité globale des Services ne soit pas sensiblement diminuée. Cal.com met à disposition son inventaire des contrôles et ses rapports d’audit indépendants à l’adresse trust.cal.com ; les mesures ci-dessous, et non l’inventaire des contrôles, constituent la description contractuelle aux fins de la Clause 8.6.
| Domaine | Mesures |
|---|---|
| Pseudonymisation et chiffrement | Chiffrement en transit au moyen de TLS pour les connexions aux Services. Chiffrement au repos de la base de données de production (Amazon RDS, clés gérées dans AWS KMS), de ses sauvegardes et du stockage d’objets, au moyen du chiffrement géré par le fournisseur d’hébergement (AES-256). Les propres contrôles de chiffrement des Sous-traitants ultérieurs sont évalués dans le cadre de l’évaluation des risques fournisseurs ci-dessous |
| Confidentialité, intégrité, disponibilité et résilience | Contrôle d’accès basé sur les rôles et principe du moindre privilège pour les systèmes de production ; authentification unique et authentification multifactorielle pour l’accès du personnel aux systèmes de production et d’administration ; séparation des environnements de production, de préproduction et de développement ; protection DDoS et pare-feu applicatif web en périphérie du réseau |
| Capacité à rétablir la disponibilité et l’accès après un incident | Sauvegardes quotidiennes automatisées des bases de données de production avec restauration à un point dans le temps, chiffrées et à accès restreint ; procédures de restauration documentées et testées périodiquement ; plan de réponse aux incidents avec rôles, niveaux de gravité et étapes de communication définis, y compris la notification au Client au titre du DPA §8 |
| Tests, appréciation et évaluation réguliers | Tests d’intrusion indépendants réalisés par un tiers sur l’environnement de production, effectués périodiquement ; analyse automatisée des vulnérabilités ; suivi de la conformité par rapport aux référentiels de contrôles ISO 27001 et SOC 2 via la plateforme de conformité de Cal.com ; rapports d’audit indépendants mis à la disposition des Clients sous NDA via trust.cal.com ; revue des modifications de code avant le déploiement |
| Identification et autorisation des utilisateurs | Comptes uniques pour tout le personnel ; MFA imposée pour l’accès à la production, aux consoles cloud et aux dépôts de code ; accès accordé selon le besoin d’en connaître et révisé au moins une fois par trimestre ; accès révoqué en cas de changement de rôle ou de départ dans le cadre du processus de départ |
| Protection des données pendant la transmission | Chiffrement en transit des données envoyées vers les Services et depuis ceux-ci ; API keys pour les intégrations du Client ; charges utiles de webhooks signées lorsque le Client configure un secret de webhook ; les intégrations de calendriers, de vidéo et autres intégrations tierces utilisent OAuth ou des identifiants délivrés par le fournisseur |
| Protection des données pendant le stockage | Chiffrement au repos comme indiqué ci-dessus ; accès à la base de données limité aux services applicatifs et aux ingénieurs nommément désignés via des canaux audités ; aucune donnée de production dans les environnements de développement ou de test, sauf données pseudonymisées ou synthétiques |
| Sécurité physique des lieux de traitement | Cal.com n’exploite pas ses propres centres de données. La sécurité physique est assurée par les Sous-traitants ultérieurs d’hébergement (AWS et Vercel), dont les services concernés sont couverts par des rapports SOC 2 Type II et des certifications ISO 27001 dans le périmètre de leurs assurances respectives |
| Journalisation des événements | Journalisation centralisée des événements applicatifs, d’infrastructure et d’administration ; journaux des serveurs d’infrastructure conservés pendant 365 jours à des fins d’enquête de sécurité ; journalisation d’audit des réservations au niveau applicatif pour les organisations où l’audit des réservations est activé |
| Configuration du système, y compris la configuration par défaut | Gestion des changements dans le cadre des contrôles ISO 27001 et SOC 2 de Cal.com : contrôles ISO 27001 et SOC 2 : les changements apportés à la production sont examinés et passent des vérifications automatisées avant le déploiement |
| Gouvernance et gestion internes de l’informatique et de la sécurité informatique | Politiques de sécurité de l’information approuvées par la direction et révisées chaque année ; responsable sécurité et conformité désigné ; formation de sensibilisation à la sécurité pour tout le personnel à l’embauche puis chaque année ; engagements de confidentialité pour tout le personnel ayant accès aux Données personnelles du Client (DPA §4) ; évaluation des risques fournisseurs avant l’engagement d’un Sous-traitant ultérieur |
| Certification et assurance des processus et produits | Certification ISO/IEC 27001:2022 (certificat n° 122217, Prescient Security LLC, valide jusqu’au 30 octobre 2028 sous réserve d’audits de surveillance annuels ; périmètre : le système de management de la sécurité de l’information prenant en charge la plateforme de planification Cal.com, y compris l’infrastructure hébergée sur AWS) ; rapport SOC 2 Type II sur les critères de Sécurité (période la plus récente du 21 novembre 2024 au 30 avril 2026, Prescient Assurance LLC) ; tous deux mis à la disposition des Clients sous NDA via trust.cal.com ; cartographie des contrôles HIPAA maintenue pour les Clients BAA |
| Minimisation des données | Le Client peut configurer les questions et champs de réservation via les fonctionnalités disponibles des Services. Les données collectées dépendent des champs sélectionnés, des fonctionnalités activées et des intégrations. |
| Qualité des données | Les utilisateurs peuvent consulter et corriger les données au moyen des fonctionnalités disponibles pour leur rôle. Cal.com aide le Client pour les autres demandes de rectification applicables au titre du DPA §7. |
| Conservation limitée des données | Suppression et restitution au titre du DPA §10 ; suppression, à l’initiative du Client, des réservations et des données des participants via les Services ; enregistrements et transcriptions Cal Video stockés dans un stockage d’objets contrôlé par Cal.com et supprimés lorsque le Client les supprime ou supprime la réservation, ou sur demande ; enregistrements issus de salles cal.video autonomes supprimés automatiquement conformément au calendrier de conservation de Cal.com ; sauvegardes purgées selon le calendrier ordinaire de conservation des sauvegardes |
| Responsabilité | Registres des activités de traitement et des engagements de Sous-traitants ultérieurs ; registre documenté des incidents et violations ; certification de suppression et informations de conformité fournies comme l’exigent les Clauses 8.5 et 8.9 |
| Portabilité et effacement des données | Export via les Services disponibles ou les fonctionnalités API ; toute autre restitution requise de données personnelles est traitée au titre de la Clause 8.5 et du DPA §10 dans la mesure compatible avec cette Clause ; suppression du compte et des données à la demande du Client ; certification de suppression remise au Client comme l’exige la Clause 8.5 |
| Mesures d’assistance au responsable du traitement | Outils et processus pour aider le Client à répondre aux demandes des Personnes concernées (DPA §7), à réaliser des DPIA (DPA §9) et à obtenir les informations de conformité et les rapports d’audit (DPA §11) |
| Mesures imposées aux Sous-traitants ultérieurs | Chaque Sous-traitant ultérieur est lié par un accord écrit imposant des obligations de protection des données au moins aussi protectrices que celles du DPA et des CCT, y compris des garanties relatives aux transferts ultérieurs (DPA §6.5) ; les Sous-traitants ultérieurs sont évalués avant tout engagement et font l’objet d’un suivi ; le Client reçoit un préavis écrit concernant tout nouveau Sous-traitant ultérieur ou tout remplacement de Sous-traitant ultérieur et peut s’y opposer (DPA §6.3–6.4) |
Partie 5. Annexe III — Liste des Sous-traitants ultérieurs
La liste faisant foi et à jour des Sous-traitants ultérieurs, comprenant les noms des entités, les lieux et les finalités, est publiée sur trust.cal.com et est mise à jour conformément au DPA §6.3. Cal.com fournit le préavis écrit requis par la Clause 9(a), au moyen d’une méthode électronique documentée conformément au DPA §6.3, avant l’ajout ou le remplacement d’un Sous-traitant ultérieur pour le traitement concerné. Aux fins de la Clause 9(a), au titre du Module Deux, le Client donne à Cal.com une autorisation écrite générale de recourir aux Sous-traitants ultérieurs figurant sur la liste convenue à l’adresse trust.cal.com à la date à laquelle les CCT prennent effet entre les Parties. Au titre du Module Trois, le recours à ces Sous-traitants ultérieurs nécessite l’autorisation écrite générale du Responsable du traitement concerné. Les ajouts ou remplacements sont soumis à la Clause 9(a) et au DPA §6.3–6.4 dans la mesure compatible avec cette Clause.
Comme l’Option 2 de la Clause 9(a) s’applique, la présente Annexe ne reproduit pas la liste.
La Liste des Sous-traitants ultérieurs indique les lieux de traitement pertinents pour les Données à caractère personnel du Client. Le pays de constitution d’un Sous-traitant ultérieur ne constitue pas une déclaration quant au lieu où il traite les données. Les modifications restent soumises aux exigences de notification et d’autorisation applicables. Les fournisseurs utilisés uniquement pour les propres finalités de Cal.com ne sont pas des Sous-traitants ultérieurs et ne sont pas répertoriés : analyse et publicité du site web marketing (Google Analytics/GTM, X Ads), le CRM propre à Cal.comson propre CRM (HubSpot), et les applications que le Client connecte à son propre compte tiers (Zapier, Dub, Close.com, applications GA4/GTM), pour lesquelles le Client est le responsable du traitement qui donne directement des instructions à ce fournisseur.
Partie 6. Addendum britannique — tableaux complétés
Tableau 1 : Parties. Date de début : la date à laquelle les CCT prennent effet entre les Parties au titre de la Partie 1.4. Exportateur et Importateur : tels qu’identifiés à l’Annexe I.A, complétés par la dénomination commerciale de chaque Partie si elle diffère, son adresse enregistrée ou son adresse principale applicable, et son numéro officiel d’enregistrement le cas échéant. Contacts clés : la fonction et les coordonnées enregistrées pour chaque Partie. Signature : conformément à la section 2 de l’Addendum britannique et au registre de signature applicable.
Tableau 2 : CCT sélectionnées, Modules et Clauses sélectionnées. Les CCT de l’UE approuvées, y compris les Informations de l’appendice, telles que complétées par le présent document : Module Deux ou Module Trois selon le cas au titre de la Partie 2 ; la Clause 7 s’applique ; la formulation facultative de la Clause 11 ne s’applique pas ; Clause 9(a) Option 2 avec le délai de préavis indiqué dans la Partie 2 (DPA §6.3) ; Clauses 17 et 18 comme dans la Partie 2, sous réserve de la section 15 de l’Addendum britannique (qui substitue les lois et juridictions d’Angleterre et du pays de Galles pour les questions régies par l’Addendum britannique). Clause d’adhésion : s’applique. Les données à caractère personnel reçues de l’importateur sont-elles combinées avec des données à caractère personnel collectées par l’exportateur ? Non.
Tableau 3 : Informations de l’appendice. Annexe 1A : comme à la Partie 3.A. Annexe 1B : comme à la Partie 3.B. Annexe II : comme à la Partie 4. Annexe III : comme à la Partie 5.
Tableau 4 : Fin du présent Addendum lorsque l’Addendum approuvé change. L’Importateur peut mettre fin à l’Addendum britannique comme prévu à la section 19 de celui-ci.
Pour les transferts au Royaume-Uni, les références dans les CCT au GDPR, au droit des États membres et à l’autorité de contrôle sont interprétées comme indiqué dans l’Addendum britannique ; l’autorité de contrôle compétente est l’Information Commissioner du Royaume-Uni.
Partie 7. Modifications suisses
Pour les transferts soumis à la Loi fédérale suisse sur la protection des données (« FADP ») :
(a) les références au GDPR sont interprétées comme des références à la FADP, et les références au droit de l’UE ou d’un État membre en matière de protection des données comme des références au droit suisse correspondant en matière de protection des données, sans modifier les choix contractuels de droit applicable et de tribunal compétent définis au paragraphe (d), dans la mesure où le transfert est soumis exclusivement à la FADP ; lorsqu’un transfert est soumis à la fois au GDPR et à la FADP, les CCT s’appliquent en parallèle au titre des deux ;
(b) le Préposé fédéral suisse à la protection des données et à la transparence est compétent pour les transferts régis par la FADP ; lorsque le GDPR s’applique également, l’autorité compétente identifiée au titre de la Clause 13 pour les questions relatives au GDPR demeure compétente ;
© le terme « État membre » n’est pas interprété comme excluant les personnes concernées en Suisse de la possibilité d’agir en justice pour faire valoir leurs droits dans leur lieu de résidence habituelle en Suisse au titre de la Clause 18© ;
(d) le droit applicable et le tribunal compétent au titre des Clauses 17 et 18 demeurent ceux indiqués à la Partie 2, sauf exigence contraire impérative du droit suisse.
Partie 8. Particularités du Module Trois
Lorsque le Client agit en tant que Sous-traitant pour un Responsable du traitement tiers :
(a) le Client confirme que le Responsable du traitement a autorisé le recours à Cal.com en tant que sous-traitant ultérieur et le transfert au titre des CCT, et que le Client transmettra les instructions du Responsable du traitement, y compris les instructions relatives aux demandes des personnes concernées, à la suppression et aux audits, par les canaux prévus dans le DPA ;
(b) Les notifications doivent parvenir aux destinataires requis par chaque stipulation applicable des CCT. Le Client transmettra les notifications lorsque les CCT lui attribuent cette responsabilité. Cal.com notifiera directement le Responsable du traitement lorsque les CCT l’exigent, y compris au titre de la Clause 8.6© lorsque cela est approprié et réalisable. Tout dispositif de notification autorisé par l’intermédiaire du Client doit préserver les droits du Responsable du traitement et les délais exigés par les CCT.
© le Client indemnise Cal.com contre les réclamations du Responsable du traitement découlant du défaut d’autorité du Client ou des instructions que Cal.com reçoit par l’intermédiaire du Client (DPA §12.4(a)). Cette indemnité ne limite pas les obligations ou la responsabilité de Cal.com au titre des CCT.