MIS À JOUR : le 14 avril 2025

Le présent Addenda relatif au traitement des données (l’ "ATD") est intégré dans le Contrat du Marchand ou le Contrat de partenariat (le "Contrat") entre l’entité d’Affirm ("Affirm") et le Marchand ou le Partenaire qui sont Parties à ce Contrat (le "Marchand"). Le présent ATD prend effet à la Date d’entrée en vigueur du Contrat, à moins que le présent ATD ne soit signé séparément, auquel cas il prend effet à la date de la dernière signature ci-après. En cas d’incompatibilité entre le présent ATD et le Contrat, les dispositions du présent ATD prévaudront.

1. Définitions. Les termes "Données à caractère personnel", "Personne concernée", "Traiter "et" Responsable du traitement "tels qu’ils sont utilisés dans le présent ATD ont le sens qui leur est donné par la Loi applicable sur la protection des renseignements personnels ou, en l’absence d’un tel sens, le sens qui leur est donné par le RGPD. Tel qu’il est utilisé dans le présent ATD, le terme "Données à caractère personnel "aura le sens de " Renseignements personnels "ou de "Renseignements personnels non publics", tel que chacun de ces termes est utilisé dans la Loi applicable sur la protection des renseignements personnels. Tout terme portant la majuscule qui n’est pas défini dans le présent ATD a le sens qui lui est donné dans le Contrat.

(a) "Loi applicable sur la protection des renseignements personnels" désigne les ordonnances judiciaires, les lois, les règlements, les codes, les décrets, les règles et les directives imposées par la loi ou par une autorité gouvernementale compétente, un organe directeur ou un organisme de réglementation dans chaque pays et territoire régissant la protection des données, la sécurité de l’information et la protection des renseignements personnels applicables au Traitement de Données à caractère personnel. Pour dissiper tout doute, la Loi applicable sur la protection des renseignements personnels comprend les restrictions applicables en vertu de la GLBA et de la législation canadienne en matière de réutilisation et de redivulgation.

(b) "GLBA" désigne le titre V de la Gramm-Leach-Bliley Act (15 U.S.C. 6801 et suiv.) et les règlements de mise en œuvre en matière de protection des renseignements personnels et de sécurité émis en vertu de la Gramm-Leach-Bliley Act.

(c) "RGPD" désigne le Règlement général sur la protection des données ((UE) 2016/679) et l’ensemble des lois, des règlements et de la législation secondaire de mise en œuvre à l’échelle nationale, en leur version modifiée de temps à autre, dans l’Espace économique européen ("EEE").

(d) "Pratiques de sécurité reconnues du secteur" désigne les pratiques sectorielles généralement reconnues, qui peuvent comprendre, sans s’y limiter, les normes de l’Organisation internationale de normalisation ISO/IEC 27001:2013 – Systèmes de management de la sécurité de l’information – Exigences et ISO/IEC 27002:2013 – Code de bonne pratique pour le management de la sécurité de l’information; le Cybersecurity Framework du National Institute of Standards and Technology (NIST); les normes Control Objectives for Information and related Technology (COBIT); les normes System and Organization Controls 2 (SOC 2) de l’Association of International Certified Professional Accountants (AICPA); ou d’autres normes sectorielles applicables à l’égard de la sécurité de l’information.

(e) "Pays visé par des restrictions" désigne, i) lorsque le RGPD s’applique, un pays à l’extérieur de l’EEE non assujetti à une décision d’adéquation par la Commission européenne; et ii) lorsque le RGPD du Royaume-Uni (au sens défini ci-après) et la Data Protection Act 2018 (" DPA 2018 ") s’appliquent, les pays qui n’ont pas été précisés par le secrétaire d’État comme assurant un degré adéquat de protection des Données à caractère personnel en vertu de l’article 17A de la DPA 2018.

(f) "Incident de sécurité" désigne une perte réelle, un accès non autorisé ou le Traitement non autorisé touchant les Renseignements confidentiels d’une Partie dans des systèmes informatiques appartenant à l’autre Partie, sous son contrôle ou accordés en sous-traitance par celle-ci, ou tout autre incident de confidentialité qui exige la divulgation conformément à la Loi applicable sur la protection des renseignements personnels.

(g) "Clauses contractuelles types" ou " CCT "désigne, i) lorsque le RGPD s’applique, les clauses annexées à la Décision d’exécution de la Commission européenne 2021/914 du 4 juin 2021 pour le transfert de Données à caractère personnel vers des pays tiers; et ii) lorsque le RGPD du Royaume-Uni s’applique, l’International Data Transfer Addendum to the EU Commission Standard Contractual Clauses émis par le commissaire à l’information du Royaume-Uni en vertu du paragraphe 119A(1) de la DPA 2018 (l’" Addenda du Royaume-Uni"), dans chaque cas, en leur version modifiée ou remplacée de temps à autre.

(h) "RGPD du Royaume-Uni" a le sens donné au terme "UK GDPR" au paragraphe 3(10) de la DPA 2018, tel qu’il est complété par le paragraphe 205(4), en leur version modifiée de temps à autre.

2. Rôle des Parties. Sous réserve de la Loi applicable sur la protection des renseignements personnels (y compris, sans s’y limiter, toute exigence en matière de consentement ou d’avis), chaque Partie est un Responsable du traitement distinct et indépendant des Données à caractère personnel qui lui sont divulguées ou qui sont mises à sa disposition dans le cadre du Contrat.

3. Obligations d’ordre général.

(a) Chaque Partie se conformera à la Loi applicable sur la protection des renseignements personnels et accomplira toutes les actions et mettra en œuvre toutes les mesures nécessaires pour soutenir le Traitement de Données à caractère personnel en tant que Responsable du traitement distinct et indépendant aux termes du présent Contrat. De manière raisonnable, chaque Partie collaborera avec l’autre Partie et l’aidera afin de respecter les obligations de l’autre Partie en vertu de la Loi applicable sur la protection des renseignements personnels et avisera sans délai l’autre Partie si elle reçoit une plainte, un avis ou une communication se rapportant à la conformité de l’autre Partie avec la Loi applicable sur la protection des renseignements personnels.

(b) Malgré toute disposition contraire dans le présent ATD, aucune Partie ne vendra ou ne mettra à la disposition de l’autre Partie des Données à caractère personnel en échange d’une valeur monétaire ou d’une autre contrepartie, et le Marchand ne Traitera pas de Données à caractère personnel d’une manière qui établit l’admissibilité au crédit ou qui empêche, oriente ou décourage l’utilisation de certains produits de paiement par les clients.

4. Sécurité des données.

(a) Chaque Partie établira, maintiendra et respectera des contrôles physiques, techniques et administratifs et un programme de sécurité des données, des politiques et des mesures de sécurité des données précis, exhaustifs et à jour conformes à la Loi applicable sur la protection des renseignements personnels et aux Pratiques de sécurité reconnues du secteur (et inclura au minimum les mesures énoncées à l’annexe A) afin de se prémunir contre les Incidents de sécurité.

(b) Au cas où l'une ou l’autre des Parties subit un Incident de sécurité ou en prend connaissance, la Partie dans les systèmes de laquelle l’incident a eu lieu (la "Partie touchée") : i) avisera sans délai (mais dans tous les cas au plus tard 48 heures suivant la confirmation de l’Incident de sécurité) l’autre Partie par écrit de cet Incident de sécurité et fournira à l’autre Partie les détails de cet Incident de sécurité; ii) collaborera à tout effort, toute action ou toute procédure raisonnable en vue de protéger tous les Renseignements confidentiels visés par cet Incident de sécurité et d’atténuer raisonnablement et/ou de remédier à l’incidence de l’Incident de sécurité; iii) déploiera sans délai des efforts raisonnables sur le plan commercial pour prévenir la récurrence d’un Incident de sécurité futur; et iv) le cas échéant, se conformera à la Loi applicable sur la protection des renseignements personnels. En cas d’Incident de sécurité, les Parties collaboreront à l’égard des avis qui sont exigés par la Loi applicable sur la protection des renseignements personnels et l’autre Partie aura le droit d’effectuer (ou de faire en sorte qu’un tiers compétent indépendant effectue) un audit ou une évaluation de la sécurité afin de vérifier les obligations en matière de sécurité des données de la Partie touchée telles qu’elles sont énoncées dans le présent ATD. Une telle évaluation de la sécurité sera effectuée uniquement aux frais et au choix de l’autre Partie. Tous les avis à l’intention d’Affirm aux termes du présent article 4 seront envoyés à infosec@affirm.com.

(c) Le Marchand s’assurera que: i) sa connectivité aux systèmes informatiques d’Affirm et toutes les tentatives de connexion à ces systèmes s’effectueront exclusivement selon les procédures d’Affirm, que l’on peut obtenir à https://docs.affirm.com/developers/docs; ii) il n’accédera pas, et ne permettra pas à des personnes ou entités non autorisées d’accéder, aux systèmes informatiques d’Affirm sans l’autorisation écrite expresse de cette dernière, et tout accès réel ou toute tentative d’accès sera conforme à l’autorisation accordée par Affirm; et iii) le Marchand prendra toutes les mesures appropriées pour veiller à ce que ses systèmes informatiques qui se connectent aux systèmes informatiques d’Affirm, et à ce que tout élément fourni à Affirm, ne renferment pas de code informatique, de programme, de mécanisme ou de dispositif de programmation conçu pour permettre ou qui pourrait permettre la perturbation, la modification, la suppression, l’endommagement, la désactivation, la mise hors d’usage, le préjudice ou l’entrave, de quelque manière que ce soit, touchant l’exploitation des services ou des systèmes informatiques d’Affirm, et le Marchand avisera immédiatement Affirm au moment de la détection de vulnérabilités dans ceux-ci.

(d) Dans la mesure où une Partie Traite des Données des Titulaires de Cartes (au sens défini par le PCI Security Standards Council), elle respectera les exigences du Standard de Sécurité des Données Payment Card Industry ("PCI DSS").

5. Transferts internationaux de données. Chaque Partie transférera seulement des Données à caractère personnel au-delà des frontières internationales et entre des territoires dans la mesure permise par le Contrat et en conformité avec la Loi applicable sur la protection des renseignements personnels. En cas d’incompatibilité entre le présent ATD et les CCT, les dispositions des CCT, dans la mesure applicable, prévaudront.

(a) Transfert de Données à caractère personnel de l’EEE. Les transferts de Données à caractère personnel de l’EEE vers un Pays visé par des restrictions seront effectués en conformité avec le présent ATD et les CCT, y compris, s’il y a lieu, les CCT de Responsable du traitement à Responsable du traitement (qui se trouvent à https://www.affirm.com/terms/controller-to-controller), lesquelles CCT sont intégrées par renvoi dans les présentes. L’annexe A des présentes fournit des détails supplémentaires comme l’exigent les annexes I et II des CCT.

(b) Transfert de Données à caractère personnel du Royaume-Uni. Les Transferts par l’une ou l’autre des Parties de Données à caractère personnel touchant le Royaume-Uni, soit en plus de l’EEE ou séparément, vers un Pays visé par des restrictions seront effectués en conformité avec le présent ATD et les CCT, y compris, s’il y a lieu, l’Addenda du Royaume-Uni (qui se trouve à international-data-transfer-addendum.pdf), dont les modalités sont intégrées par renvoi dans les présentes. Aux fins de l’Addenda du Royaume-Uni, les champs requis aux fins de la partie 1 (Tableaux) de l’Addenda du Royaume-Uni seront remplis selon les renseignements pertinents énoncés dans le présent ATD (voir l’annexe B).

6. Personne-ressource/représentant d’Affirm. Veuillez communiquer avec privacylegal@affirm.com au sujet de toute question ou de tout problème concernant le présent ATD. 

ANNEXE A

1. Le tableau suivant renferme les renseignements requis par l’annexe I des CCT.

2. Le tableau suivant renferme les renseignements requis par l’annexe II des CCT.

ANNEXE B

1. Le tableau suivant renferme les renseignements requis par la partie 1 : Tableaux de l’Addenda du Royaume-Uni.