Annexe Cal.com relative aux clauses contractuelles types
Annexe à l’accord de traitement des données Cal.com v2.3 — Version 1.0 — Date d’entrée en vigueur : 1er novembre 2026
Partie 1. Application des Clauses
1.1 La présente Annexe complète les clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers, adoptées par la décision d’exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021 (les « CCT »), l’Addendum international du Royaume-Uni relatif au transfert de données aux clauses contractuelles types de la Commission européenne, version B1.0, en vigueur le 21 mars 2022 (l’« Addendum britannique »), et les modifications requises par le Préposé fédéral suisse à la protection des données et à la transparence pour les transferts soumis à la loi fédérale suisse sur la protection des données (les « Amendements suisses »), tels qu’incorporés par le §12.4 de l’accord de traitement des données Cal.com (le « DPA »).
1.2 Le texte des CCT est intégré par référence exactement tel que publié au Journal officiel de l’Union européenne (JO L 199, 7.6.2021, p. 31), disponible à l’adresse https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Partie 2 : Clauses obligatoires de l’Addendum approuvé, constituant le modèle d’Addendum B.1.0 émis par l’ICO et déposé devant le Parlement conformément à l’article 119A du Data Protection Act 2018 le 2 février 2022, tel que révisé en vertu de l’article 18 de ces Clauses obligatoires. Aucun des deux textes n’est modifié, sauf au moyen des options, choix et Annexes que les CCT et l’Addendum britannique autorisent eux-mêmes, comme indiqué dans la présente Annexe.
1.3 Les CCT s’appliquent aux transferts décrits à l’Annexe I.B qui relèvent de leur champ d’application autorisé et requièrent ces garanties, car aucun autre mécanisme de transfert valide au titre du §12.2 du DPA ne couvre le transfert. Une décision d’adéquation valide et applicable, y compris une décision couvrant la participation de Cal.com au cadre de protection des données pertinent, peut être invoquée pour les transferts relevant de son champ d’application. Les obligations existantes au titre des CCT ne s’éteignent pas automatiquement ; la résiliation ou la révocation doit respecter les CCT et l’Addendum britannique applicables. Les droits acquis ne sont pas affectés.
1.4 Les Parties concluent les CCT par la signature valable de l’Annexe I.A complétée, y compris par une signature électronique juridiquement valable incorporée à l’Accord ou au DPA. L’enregistrement de signature doit identifier les Parties, la version applicable de l’Annexe et la date d’entrée en vigueur. Sur demande, Cal.com fournira une copie de la version qui lie les Parties.
1.5 Les termes définis dans le DPA ont ici le même sens. Le « Client » est l’exportateur de données et «Cal.com» est l’importateur de données. En cas de conflit entre la présente Annexe et les CCT, les CCT prévalent (DPA §12.4(j)) ; en cas de conflit entre la présente Annexe et le DPA sur un point que les CCT laissent aux Parties, la présente Annexe prévaut.
Partie 2. Modules, options et choix
| Clause | Choix | Fondement dans le DPA |
|---|---|---|
| Module | Module deux (responsable du traitement à sous-traitant) lorsque le Client est Responsable du traitement des Données personnelles du Client. Module trois (sous-traitant à sous-traitant) lorsque le Client est lui-même un Sous-traitant agissant pour un Responsable du traitement tiers. Seules les clauses du Module applicable s’appliquent. | §12.4(a) |
| Clause 7 — Clause d’adhésion | S’applique. Une entité peut adhérer en qualité d’exportateur de données ou d’importateur de données avec l’accord des Parties en complétant l’Appendice et en signant l’Annexe I.A. | §12.4(b) |
| Clause 8.1 (Module trois) — Instructions | Le Client garantit qu’il détient l’autorité et les instructions de chaque Responsable du traitement nécessaires pour désigner Cal.com en vertu du Module trois et pour transmettre ces instructions. Les instructions sont traitées conformément à la clause 8.1 du Module trois, y compris les instructions du Responsable du traitement communiquées par l’intermédiaire du Client et toute autre instruction documentée autorisée par cette clause. | §12.4(a), §3 |
| Clause 8.5 — Durée du traitement et effacement | Le traitement se poursuit pendant la durée indiquée à l’Annexe I.B. À la fin des services de traitement, le Client peut choisir la restitution des données à caractère personnel suivie de la suppression des copies existantes, ou la suppression avec certification au Client, comme l’exige la clause 8.5. Le DPA §10 s’applique uniquement dans la mesure où il est compatible avec cette clause. La protection se poursuit jusqu’à ce que la restitution ou la suppression soit achevée ; la conservation légalement requise est régie par la clause 8.5. | §10 |
| Clause 8.6 — Sécurité | Les mesures techniques et organisationnelles sont celles de l’Annexe II. La notification des Violations de données à caractère personnel suit le DPA §8. | §5, §8 |
| Clause 8.9 — Documentation et conformité (audits) | Les droits d’audit sont exercés comme décrit au DPA §11 (informations et rapports de conformité d’abord, audit sur site ou à distance lorsque ceux-ci sont insuffisants ou qu’une autorité de contrôle l’exige). Cela décrit la manière dont le droit d’audit prévu par la clause 8.9 est exercé et ne le restreint pas. | §11 |
| Clause 9(a) — Recours à des sous-traitants ultérieurs | Option 2 : autorisation écrite générale. Délai de préavis : préavis écrit préalable avant qu’un Sous-traitant ultérieur nouveau ou remplaçant ne commence le traitement, donné aussi tôt qu’il est raisonnablement possible afin que l’exportateur de données dispose de suffisamment de temps pour s’y opposer (DPA §6.3). Les Parties conviennent qu’il s’agit du délai aux fins de la clause 9(a). La liste des Sous-traitants ultérieurs est la Liste des Sous-traitants ultérieurs à jour à l’adresse trust.cal.com, mentionnée à l’Annexe III. Le droit d’objection du Client est prévu au DPA §6.4. | §12.4©, §6.3–6.4 |
| Clause 11(a) — Recours | La formulation relative à l’organisme facultatif indépendant de règlement des litiges ne s’applique pas. Les personnes concernées peuvent déposer des réclamations auprès de Cal.com à l’adresse [email protected], auprès de l’autorité de contrôle compétente et devant les tribunaux en vertu de la clause 18. | §12.4(d) |
| Clause 13 — Contrôle | L’autorité de contrôle compétente est déterminée conformément à la clause 13(a), comme indiqué à l’Annexe I.C. | §12.4(e) |
| Clause 15 — Accès par les autorités publiques | Les clauses 15.1 et 15.2 régissent l’accès des autorités publiques aux données à caractère personnel transférées au titre des CCT. Le §13.1 du DPA confirme le respect par Cal.com de ces Clauses et ne les limite pas. | §13.1 |
| Clause 17 — Droit applicable | Option 1. Les CCT sont régies par le droit irlandais. | §12.4(f) |
| Clause 18(b) — Forum | Les tribunaux d’Irlande. La clause 18© (droit de la personne concernée d’intenter une action dans l’État membre de sa résidence habituelle) n’est pas affectée. | §12.4(f) |
| Responsabilité (clause 12) | Aucune disposition du DPA ou du Contrat ne limite la responsabilité de l’une ou l’autre Partie envers les personnes concernées au titre des clauses contractuelles types (CCT) (DPA §15). Les limitations de responsabilité du Contrat n’excluent ni ne limitent la responsabilité régie par la clause 12 des CCT. La responsabilité pour les autres réclamations reste régie par le Contrat, sous réserve du droit impératif applicable. | §15 |
Partie 3. Annexe I
A. Liste des Parties
Exportateur de données
| Élément | Détails |
|---|---|
| Nom | Le Client identifié dans le Contrat (l’entité ou la personne titulaire du compte Cal.com) |
| Adresse | Telle qu’enregistrée dans le compte Cal.com du Client ou dans le Bon de commande |
| Contact | Le nom, la fonction et les coordonnées de la personne de contact enregistrés dans le Contrat, le Bon de commande ou le compte du Client et intégrés à la présente Annexe. |
| Activités pertinentes pour le transfert | Utilisation des Services Cal.com pour proposer, planifier, gérer et tenir des réunions ainsi que des communications connexes avec les utilisateurs du Client, les participants aux réunions et les autres Personnes concernées décrits à l’Annexe I.B |
| Rôle | Module deux : responsable du traitement. Module trois : sous-traitant (agissant pour le compte des Responsables du traitement qui donnent des instructions au Client) |
| Signature et date | Telles qu’enregistrées dans le dossier de signature intégrant l’Annexe I.A complétée au titre de la Partie 1.4 |
Importateur de données
| Élément | Détails |
|---|---|
| Nom | Cal.com, Inc. |
| Adresse | 2261 Market Street #4382, San Francisco, CA 94114, United States |
| Contact | Felix Kolodziej, responsable de la sécurité de l’information (ISO), [email protected] (à l’attention de : Confidentialité) |
| Activités pertinentes pour le transfert | Fourniture, exploitation, assistance, maintenance, sécurité et amélioration des Services Cal.com tels que décrits à l’Annexe I.B |
| Rôle | Sous-traitant (Module deux) ; sous-traitant ultérieur du Client lorsque celui-ci agit en tant que sous-traitant (Module trois) |
| Signature et date | Telles qu’enregistrées dans le dossier de signature intégrant l’Annexe I.A complétée au titre de la Partie 1.4 |
B. Description du transfert
| Élément | Détails |
|---|---|
| Catégories de personnes concernées | Utilisateurs, administrateurs, employés et prestataires du Client ; prospects, clients et autres contacts du Client ; participants aux réunions, personnes effectuant une réservation et invités ; ainsi que les autres personnes dont le Client ou ses Utilisateurs autorisés soumettent les données personnelles aux Services (DPA Annexe 1) |
| Catégories de données personnelles | Données de compte et de profil ; données de disponibilités ; noms, adresses e-mail, numéros de téléphone ; données de réservation, y compris titres, descriptions, horaires, lieux, notes, listes d’invités, réponses aux questions de réservation et motifs de replanification ou d’annulation ; données d’assistance ; données techniques telles que l’adresse IP, les données relatives à l’appareil et au navigateur, et les journaux d’utilisation ; ainsi que les autres données personnelles que le Client choisit de soumettre via les Services |
| Données sensibles | Aucune catégorie particulière de données personnelles n’est requise pour utiliser les Services. Le Client ne peut les soumettre que via les champs qu’il configure (par exemple les questions de réservation) ; lorsqu’il le fait, les mesures de l’Annexe II s’appliquent. Le Client est responsable d’établir la base légale requise et toute condition applicable au traitement de catégories particulières de données personnelles. Les informations de santé protégées nécessitant un Business Associate Agreement ne peuvent être soumises que dans le cadre d’un BAA signé couvrant les Services concernés. Toute autorisation figurant ailleurs dans le Contrat ne remplace pas un BAA requis |
| Fréquence du transfert | Continue, pendant la durée du Contrat |
| Nature du traitement | Collecte, stockage, organisation, extraction, consultation, utilisation, transmission selon les instructions du Client, assistance, surveillance de la sécurité, sauvegarde, restauration, suppression et autres traitements nécessaires à la fourniture des Services |
| Finalité du transfert et du traitement ultérieur | Fournir au Client des fonctionnalités de planification, de réservation, de compte, de communication, de vidéo, d’intégration, d’assistance et des fonctionnalités produit connexes, conformément au Contrat et aux instructions documentées du Client |
| Durée de conservation | Pendant la durée des services de traitement puis uniquement dans la mesure nécessaire pour effectuer la restitution ou la suppression requise par la clause 8.5, ou pour la conservation imposée par la loi telle qu’autorisée par cette clause. Informations sur la conservation : au moins 30 jours pour l’export après la résiliation (DPA §10.2) ; suppression normalement dans les 90 jours suivant cette période (DPA §10.3) ; les copies de sauvegarde sont supprimées selon le calendrier ordinaire de conservation des sauvegardes de Cal.com et protégées jusque-là (DPA §10.4) |
| Transferts à des sous-traitants (ultérieurs) | Objet, nature et durée : les Sous-traitants ultérieurs figurant sur la Liste des sous-traitants ultérieurs à l’adresse trust.cal.com (Annexe III) traitent les Données personnelles du Client aux fins qui y sont indiquées (hébergement et stockage, diffusion de contenu, envoi d’e-mails et de SMS, vidéo, paiements, outils d’assistance, analyse produit, fonctionnalités d’IA et opérations internes), pendant la durée de Cal.com fait appel à chaque Sous-traitant ultérieur pendant la durée de l’Accord |
C. Autorité de contrôle compétente
| Situation | Autorité de contrôle compétente |
|---|---|
| Le Client est établi dans un État membre de l’EEE | L’autorité de contrôle de cet État membre (Clause 13(a), premier paragraphe) |
| Le Client n’est pas établi dans l’EEE, mais dispose d’un représentant au titre de l’Article 27(1) du GDPR | L’autorité de contrôle de l’État membre dans lequel le représentant est établi |
| Le Client n’est pas établi dans l’EEE, est soumis à l’Article 3(2) du GDPR et est dispensé de désigner un représentant au titre de l’Article 27(2) du GDPR | L’autorité de contrôle de l’État membre dans lequel se trouvent les personnes concernées dont les données sont transférées, déterminée conformément à la Clause 13(a), troisième paragraphe |
| Transferts soumis au UK GDPR | Le commissaire à l’information du Royaume-Uni (voir Partie 6) |
| Transferts soumis à la LPD suisse | Le Préposé fédéral suisse à la protection des données et à la transparence (voir Partie 7) |
L’autorité de contrôle compétente spécifique déterminée au titre de la Clause 13(a) est indiquée dans les informations propres au Client intégrées à la présente Annexe.
Partie 4. Annexe II — Mesures techniques et organisationnelles
La présente Annexe décrit les mesures que Cal.com met en œuvre au titre du DPA §5 et de la Clause 8.6. Elle est structurée selon les rubriques de l’Annexe II des CCT. Cal.com peut mettre à jour ces mesures au titre du DPA §5.3, à condition que la sécurité globale des Services ne soit pas matériellement réduite. Cal.com : son inventaire des contrôles et ses rapports d’audit indépendants sont disponibles sur trust.cal.com ; les mesures ci-dessous, et non l’inventaire des contrôles, constituent la description contractuelle aux fins de la Clause 8.6.
| Domaine | Mesures |
|---|---|
| Pseudonymisation et chiffrement | Chiffrement en transit via TLS pour les connexions aux Services. Chiffrement au repos de la base de données de production (Amazon RDS, clés gérées dans AWS KMS), de ses sauvegardes et du stockage d’objets, au moyen du chiffrement géré du fournisseur d’hébergement (AES-256). Les contrôles de chiffrement propres aux Sous-traitants ultérieurs sont évalués dans le cadre de l’évaluation des risques fournisseurs ci-dessous |
| Confidentialité, intégrité, disponibilité et résilience | Contrôle d’accès basé sur les rôles et principe du moindre privilège pour les systèmes de production ; SSO et authentification multifacteur pour l’accès du personnel aux systèmes de production et d’administration ; séparation des environnements de production, de préproduction et de développement ; protection DDoS et pare-feu applicatif web en périphérie du réseau |
| Capacité à rétablir la disponibilité et l’accès après un incident | Sauvegardes quotidiennes automatisées des bases de données de production avec restauration à un point dans le temps, chiffrées et à accès restreint ; procédures de restauration documentées et testées périodiquement ; plan de réponse aux incidents avec rôles, niveaux de gravité et étapes de communication définis, y compris la notification au Client au titre du DPA §8 |
| Tests, appréciations et évaluations réguliers | Tests d’intrusion indépendants par des tiers sur l’environnement de production, réalisés périodiquement ; analyse automatisée des vulnérabilités ; suivi de la conformité aux référentiels de contrôles ISO 27001 et SOC 2 au moyen de la plateforme de conformité de Cal.com ; rapports d’audit indépendants disponibles pour les Clients sous NDA via trust.cal.com ; revue des modifications de code avant déploiement |
| Identification et autorisation des utilisateurs | Comptes uniques pour tout le personnel ; authentification multifacteur imposée pour l’accès à la production, aux consoles cloud et aux dépôts de code ; accès accordé selon le besoin d’en connaître et revu au moins chaque trimestre ; accès révoqué en cas de changement de rôle ou de départ dans le cadre du processus de départ |
| Protection des données pendant la transmission | Chiffrement en transit des données envoyées vers les Services et depuis ceux-ci ; clés API pour les intégrations du Client ; charges utiles des webhooks signées lorsque le Client configure un secret de webhook ; les intégrations de calendriers, de vidéo et d’autres tiers utilisent OAuth ou des identifiants émis par le fournisseur |
| Protection des données pendant le stockage | Chiffrement au repos comme indiqué ci-dessus ; accès à la base de données limité aux services applicatifs et aux ingénieurs nommément désignés via des canaux audités ; aucune donnée de production dans les environnements de développement ou de test, sauf données pseudonymisées ou synthétiques |
| Sécurité physique des lieux de traitement | Cal.com n’exploite pas ses propres centres de données. La sécurité physique est assurée par les Sous-traitants ultérieurs d’hébergement (AWS et Vercel), dont les services concernés sont couverts par des rapports SOC 2 Type II et des certifications ISO 27001 dans leurs périmètres d’assurance respectifs |
| Journalisation des événements | Journalisation centralisée des événements applicatifs, d’infrastructure et d’administration ; journaux des serveurs d’infrastructure conservés pendant 365 jours pour les enquêtes de sécurité ; journalisation d’audit des réservations au niveau applicatif pour les organisations où l’audit des réservations est activé |
| Configuration du système, y compris la configuration par défaut | Gestion des changements dans le cadre des contrôles ISO 27001 et SOC 2 de Cal.comses contrôles ISO 27001 et SOC 2 : les modifications en production sont examinées et passent des contrôles automatisés avant le déploiement |
| Gouvernance et gestion internes de l’informatique et de la sécurité informatique | Politiques de sécurité de l’information approuvées par la direction et revues chaque année ; responsable désigné de la sécurité et de la conformité ; formation de sensibilisation à la sécurité pour tout le personnel à l’embauche puis chaque année ; engagements de confidentialité pour tout le personnel ayant accès aux Données personnelles du Client (DPA §4) ; évaluation des risques fournisseurs avant de faire appel à un Sous-traitant ultérieur |
| Certification et assurance des processus et produits | Certification ISO/IEC 27001:2022 (certificat n° 122217, Prescient Security LLC, valable jusqu’au 30 octobre 2028 sous réserve d’audits de surveillance annuels ; périmètre : le système de management de la sécurité de l’information prenant en charge la plateforme de planification de Cal.com, y compris l’infrastructure hébergée sur AWS) ; rapport SOC 2 Type II sur les critères de sécurité (période la plus récente : du 21 novembre 2024 au 30 avril 2026, Prescient Assurance LLC) ; les deux sont disponibles pour les Clients sous NDA via trust.cal.com ; cartographie des contrôles HIPAA tenue à jour pour les Clients BAA |
| Minimisation des données | Le Client peut configurer les questions et champs de réservation via les fonctionnalités disponibles des Services. Les données collectées dépendent des champs sélectionnés, des fonctionnalités activées et des intégrations. |
| Qualité des données | Les utilisateurs peuvent consulter et corriger les données grâce aux fonctionnalités disponibles pour leur rôle. Cal.com aide le Client à traiter les autres demandes de rectification applicables au titre du DPA §7. |
| Conservation limitée des données | Suppression et restitution au titre du DPA §10 ; suppression, à l’initiative du Client, des réservations et des données des participants via les Services ; enregistrements et transcriptions Cal Video stockés dans le stockage d’objets contrôlé par Cal.com et supprimés lorsque le Client les supprime ou supprime la réservation, ou sur demande ; enregistrements de salles cal.video autonomes supprimés automatiquement conformément au calendrier de conservation de Cal.com ; sauvegardes purgées selon le calendrier ordinaire de conservation des sauvegardes |
| Responsabilisation | Registres des activités de traitement et des engagements de Sous-traitants ultérieurs ; registre documenté des incidents et violations ; attestation de suppression et informations de conformité fournies conformément aux Clauses 8.5 et 8.9 |
| Portabilité et effacement des données | Export via les Services disponibles ou les fonctionnalités API ; toute autre restitution requise de données personnelles est traitée au titre de la Clause 8.5 et du DPA §10 dans la mesure compatible avec cette Clause ; suppression du compte et des données à la demande du Client ; attestation de suppression fournie au Client conformément à la Clause 8.5 |
| Mesures d’assistance au responsable du traitement | Outils et processus pour aider le Client à répondre aux demandes des Personnes concernées (DPA §7), à réaliser des AIPD (DPA §9) et à obtenir des informations de conformité et des rapports d’audit (DPA §11) |
| Mesures imposées aux Sous-traitants ultérieurs | Chaque Sous-traitant ultérieur est lié par un accord écrit imposant des obligations de protection des données qui ne sont pas moins protectrices que le DPA et les CCT, y compris des garanties relatives aux transferts ultérieurs (DPA §6.5) ; les Sous-traitants ultérieurs sont évalués avant leur engagement et surveillés ; le Client reçoit un avis écrit préalable concernant tout nouveau Sous-traitant ultérieur ou tout remplacement, et peut s’y opposer (DPA §6.3–6.4) |
Partie 5. Annexe III — Liste des Sous-traitants ultérieurs
La liste actuelle et faisant autorité des Sous-traitants ultérieurs, y compris les noms des entités, les lieux et les finalités, est publiée sur trust.cal.com et est mise à jour conformément au DPA §6.3. Cal.com fournit l’avis écrit requis par la Clause 9(a), au moyen d’une méthode électronique documentée prévue au DPA §6.3, avant l’ajout ou le remplacement d’un Sous-traitant ultérieur pour le traitement concerné. Aux fins de la Clause 9(a), au titre du Module Deux, le Client donne à Cal.com une autorisation écrite générale de recourir aux Sous-traitants ultérieurs figurant sur la liste convenue à trust.cal.com à la date à laquelle les CCT prennent effet entre les Parties. Au titre du Module Trois, le recours à ces Sous-traitants ultérieurs nécessite l’autorisation écrite générale du Responsable du traitement concerné. Les ajouts ou remplacements sont soumis à la Clause 9(a) et au DPA §6.3–6.4 dans la mesure où cela est compatible avec cette Clause.
Comme la Clause 9(a), Option 2, s’applique, la présente Annexe ne reproduit pas la liste.
La Liste des Sous-traitants ultérieurs indique les lieux de traitement pertinents pour les Données personnelles du Client. Le pays d’immatriculation d’un Sous-traitant ultérieur ne constitue pas une déclaration du lieu où il traite les données. Les modifications restent soumises aux exigences applicables en matière d’avis et d’autorisation. Les prestataires utilisés uniquement pour les besoins propres de Cal.com ne sont pas des Sous-traitants ultérieurs et ne sont pas listés : l’analyse et la publicité du site marketing (Google Analytics/GTM, X Ads), le CRM propre à Cal.comson propre CRM (HubSpot), et les applications que le Client connecte à son propre compte tiers (Zapier, Dub, Close.com, applications GA4/GTM), pour lesquelles le Client est le responsable du traitement donnant directement ses instructions à ce fournisseur.
Partie 6. Addendum britannique — tableaux complétés
Tableau 1 : Parties. Date de début : la date à laquelle les CCT prennent effet entre les Parties en vertu de la Partie 1.4. Exportateur et Importateur : tels qu’identifiés à l’Annexe I.A, complétés par le nom commercial de chaque Partie s’il est différent, l’adresse enregistrée ou l’adresse principale applicable, et le numéro d’enregistrement officiel le cas échéant. Contacts clés : l’intitulé du poste et les coordonnées enregistrés pour chaque Partie. Signature : conformément à la section 2 de l’Addendum britannique et au registre de signature applicable.
Tableau 2 : CCT sélectionnées, Modules et Clauses sélectionnées. Les CCT de l’UE approuvées, y compris les Informations de l’appendice, telles que complétées par la présente Annexe : Module Deux ou Module Trois selon le cas en vertu de la Partie 2 ; la Clause 7 s’applique ; le libellé facultatif de la Clause 11 ne s’applique pas ; Clause 9(a), Option 2, avec le délai de notification indiqué à la Partie 2 (DPA §6.3) ; Clauses 17 et 18 telles qu’à la Partie 2, sous réserve de la section 15 de l’Addendum britannique (qui substitue les lois et tribunaux d’Angleterre et du Pays de Galles pour les questions régies par l’Addendum britannique). Clause d’adhésion : applicable. Les données personnelles reçues de l’importateur sont-elles combinées avec des données personnelles collectées par l’exportateur ? Non.
Tableau 3 : Informations de l’appendice. Annexe 1A : comme à la Partie 3.A. Annexe 1B : comme à la Partie 3.B. Annexe II : comme à la Partie 4. Annexe III : comme à la Partie 5.
Tableau 4 : Résiliation du présent Addendum lorsque l’Addendum approuvé change. L’Importateur peut mettre fin à l’Addendum britannique comme indiqué à la section 19 de celui-ci.
Pour les transferts vers le Royaume-Uni, les références dans les CCT au GDPR, au droit d’un État membre et à l’autorité de contrôle s’entendent comme indiqué dans l’Addendum britannique ; l’autorité de contrôle compétente est l’Information Commissioner du Royaume-Uni.
Partie 7. Modifications suisses
Pour les transferts soumis à la Loi fédérale suisse sur la protection des données (« FADP ») :
(a) les références au GDPR s’entendent comme des références à la FADP, et les références au droit de l’UE ou d’un État membre en matière de protection des données comme des références au droit suisse correspondant en matière de protection des données, sans modifier les choix contractuels de droit applicable et de for prévus au paragraphe (d), dans la mesure où le transfert est soumis exclusivement à la FADP ; lorsqu’un transfert est soumis à la fois au GDPR et à la FADP, les CCT s’appliquent en parallèle au titre des deux ;
(b) le Préposé fédéral suisse à la protection des données et à la transparence est compétent pour les transferts régis par la FADP ; lorsque le GDPR s’applique également, l’autorité compétente identifiée au titre de la Clause 13 pour les questions relatives au GDPR reste compétente ;
© le terme « État membre » n’est pas interprété comme excluant les personnes concernées en Suisse de la possibilité d’intenter une action pour faire valoir leurs droits dans leur lieu de résidence habituelle en Suisse au titre de la Clause 18© ;
(d) le droit applicable et le for prévus aux Clauses 17 et 18 restent ceux indiqués à la Partie 2, sauf disposition contraire obligatoire du droit suisse.
Partie 8. Particularités du Module Trois
Lorsque le Client agit en qualité de Sous-traitant pour un Responsable du traitement tiers :
(a) le Client confirme que le Responsable du traitement a autorisé le recours à Cal.com en tant que sous-traitant ultérieur et le transfert au titre des CCT, et que le Client transmettra les instructions du Responsable du traitement, y compris les instructions relatives aux demandes des personnes concernées, à la suppression et aux audits, via les canaux prévus dans le DPA ;
(b) Les notifications doivent parvenir aux destinataires requis par chaque disposition applicable des CCT. Le Client transmettra les notifications lorsque les CCT lui attribuent cette responsabilité. Cal.com informera directement le Responsable du traitement lorsque les CCT l’exigent, y compris au titre de la Clause 8.6© lorsque cela est approprié et possible. Tout dispositif de notification autorisé par l’intermédiaire du Client doit préserver les droits du Responsable du traitement et les délais requis par les CCT.
© Le Client indemnise Cal.com contre les réclamations du Responsable du traitement découlant de l’absence d’autorité du Client ou des instructions que Cal.com reçoit par l’intermédiaire du Client (DPA §12.4(a)). Cette indemnisation ne limite pas les obligations ni la responsabilité de Cal.com au titre des CCT.