Addenda sur le traitement des données (« ATD ») à l’intention des organisateurs

• Aperçu et définitions.

• 1. Applicabilité de l’ATD et portée des activités de traitement des données.

• 2. Clauses de traitement des données.

• 3. Transferts transfrontaliers des données.

Aperçu et définitions.

Les modalités de cet ATD sont incorporées aux conditions de services Eventbrite, à sa politique de confidentialité ou à tout autre accord de services applicable entre vous et Eventbrite (l’« entente »).

Dans le respect des dispositions concernant le traitement des renseignements personnels, en cas de conflit entre l’entente et cet ATD, les dispositions du présent ATD prévaudront. En cas de conflit entre cet ATD et toute autre disposition entre vous et nous, le présent ATD prévaudra; à l’exception des cas où l’organisateur et Eventbrite ont individuellement négocié des modalités de traitement des données différentes de celles décrites dans cet ADT et qu’elles satisfont aux exigences des lois applicables en matière de protection des données, auquel cas ces modalités négociées prévaudront.

« CCPA » désigne la Loi sur la protection de la vie privée des consommateurs de Californie (telle que modifiée par la Loi sur les droits à la vie privée en Californie) et les règlements connexes.

Par « lois sur la protection des données », on entend toutes les lois ou réglementations applicables relatives à la vie privée, à la confidentialité et à la sécurité des renseignements personnels.

« entreprise », « contrôleur de données », « responsable du traitement des données », « personne concernée », « traitement », « renseignements personnels » et « fournisseur de services » ont la signification qui leur est attribuée dans les lois sur la protection des données applicables.

Par « atteinte à la protection des données », on entend une violation de la sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé aux renseignements personnels traités par Eventbrite au nom de l’organisateur dans le cadre de l’utilisation des services par l’organisateur, de manière accidentelle ou illégale.

Les « nouvelles clauses contractuelles de la norme UE » » désignent les clauses contractuelles de la norme établies conformément à la décision d’exécution de la Commission européenne 2021/914, le 4 juin 2021 portant sur les clauses contractuelles de la norme pour le transfert des renseignements personnels aux pays tiers, conformément à la réglementation (UE) 2016/679 du Parlement européen et du Conseil.

Le terme « services » désigne tout service fourni par Eventbrite à l’organisateur, comme défini dans les conditions de service d’Eventbrite applicable à tout autre contrat de service applicable entre l’organisateur et Eventbrite.

« mesures de sécurité techniques et organisationnelles » désigne les mesures de sécurité raisonnables mises en œuvre par Eventbrite, adaptées au type de renseignements personnels traités et aux services fournis par Eventbrite pour protéger des renseignements personnels contre le traitement non autorisé ou illégal et contre la perte, la destruction, les dommages, la modification ou la divulgation accidentels.

« Addenda aux CCT du Royaume-Uni » signifie l’addenda du Royaume-Uni aux clauses contractuelles types (CCT) de la Commission européenne pour les transferts internationaux de données, version B1.0, publié par le Commissaire à l’information du Royaume-Uni en vertu de la section 119A de la loi sur la protection des données de 2018 du Royaume-Uni dont la date d’entrée en vigueur est le 21 mars 2022, ou telle qu’elle est mise à jour, modifiée ou remplacée de temps à autre.

1. Applicabilité de l’ATD et portée des activités de traitement des données.

1.1 En utilisant les services d’Eventbrite, aux fins des lois applicables sur la protection des données, l’organisateur agit à titre d’entreprise et est le contrôleur des renseignements personnels associés à une personne qui utilise les services Eventbrite, ou au nom de qui une personne utilise les services Eventbrite, (a) pour s’inscrire ou acheter un billet en vue d’assister à l’événement de cet organisateur, ou (b) pour s’abonner aux communications marketing de l’organisateur (le « consommateur »). L’organisateur déclare et garantit qu’il a fourni tous les avis nécessaires et, le cas échéant, obtenu tous les consentements nécessaires liés à la collecte de ces renseignements personnels auprès du consommateur et l’organisateur a le droit de partager ces renseignements personnels avec Eventbrite.

1.2 Lorsque Eventbrite traite les données personnelles des consommateurs pour le compte de l’organisateur dans le cadre des services, Eventbrite est un responsable du traitement des données ou un fournisseur de services dans l’exécution de ce traitement, tandis que l’organisateur est le contrôleur de données ou l’entreprise. Cela inclut également les cas où Eventbrite obtient des renseignements personnels du fait d’une prestation de ses services de billetterie de base (par exemple, si Eventbrite facilite la transmission de courriels aux consommateurs à la demande des organisateurs, traite les paiements ou fournit des rapports sur les événements et des outils pour permettre aux organisateurs d’avoir une meilleure compréhension de l’efficacité des divers circuits de vente).

En ce qui concerne certains traitements de renseignements personnels des consommateurs, Eventbrite peut agir à titre de contrôleur de données, par exemple, lorsque les consommateurs ont eu recours à des aspects liés aux applications d’Eventbrite dépassant ceux reliés à l’événement de l’organisateur ou lorsque les renseignements personnels des consommateurs sont traités par Eventbrite en vue de mener des recherches et des analyses pouvant améliorer ses produits et ses fonctions et fournir des recommandations ciblées. En ce qui concerne ce traitement de renseignements personnels, Eventbrite est un contrôleur de données indépendant et non un contrôleur de données associé à l’organisateur.

Dans la mesure où Eventbrite traite les renseignements personnels à titre de responsable du traitement des données ou de fournisseur de services au nom de l’organisateur, l’article 2 du présent ATD doit s’appliquer; par contre, lorsqu’Eventbrite agit à titre de contrôleur de données des renseignements personnels des consommateurs ou d’entreprise, le traitement d’Eventbrite ne doit pas être assujetti à cet ATD.

1.3 La description des renseignements personnels qui doivent être traités par Eventbrite et les activités de traitement qui doivent être menées conformément à l’accord sont les suivants : (i) durée : comme l’accord la définit; (ii) nature, objectif et thème abordé : pour permettre à l’organisateur de mettre en place les événements, d’en faire la promotion, et de gérer la billetterie en utilisant les services Eventbrite; (iii) catégories de données : nom, adresse de courriel, données de facturation et de paiement, données relatives aux réservations et aux participations aux événements, relation avec l’organisateur et tout autre renseignement personnel que l’organisateur demande à ses consommateurs; (iv) personnes concernées : les consommateurs.

2. Clauses de traitement des données.

2.1 Chaque fois qu’Eventbrite traite les renseignements personnels au nom de l’organisateur, Eventbrite doit :

2.1.1 Traiter les renseignements personnels uniquement selon les instructions documentées de l’organisateur, sauf en cas d’indication contraire selon les lois en vigueur. Eventbrite doit informer l’organisateur des exigences juridiques avant de traiter les renseignements personnels autrement que selon ses directives, à moins que la même loi interdise à Eventbrite de le faire pour des motifs importants d’intérêt public. L’organisateur s’assurera que ses instructions sont conformes à toutes les lois, les réglementations et les règles applicables aux renseignements personnels, et que le traitement de ces renseignements personnels par Eventbrite n’entraînera pas la violation d’une loi, d’une réglementation ou d’une règle applicable, y compris les lois sur la protection des données. Eventbrite informera l’organisateur si, selon son opinion, une instruction enfreint les lois en vigueur sur la protection des données. Par les présentes, l’organisateur donne instruction à Eventbrite, et Eventbrite accepte par les présentes, de traiter les renseignements personnels dans la mesure nécessaire à l’exécution des obligations d’Eventbrite en vertu de l’entente et à aucune autre fin, sauf en cas d’indication contraire dans cet ATD ou d’obligation de se conformer à la loi ou à une autre ordonnance gouvernementale contraignante. Dans le cas où le présent ATD ou toute mesure à prendre ou envisagée en exécution du présent ATD ne satisfait pas ou ne satisferait pas les obligations de l’une ou l’autre des parties en vertu des lois sur la protection des données applicables, les parties doivent négocier de bonne foi une modification appropriée du présent ATD.

2.1.2 Se conformer à toutes les dispositions applicables des lois sur la protection des données et fournir le même niveau de protection des renseignements personnels que celui exigé de l’organisateur en vertu des lois sur la protection des données.  Eventbrite traitera les renseignements personnels uniquement dans la mesure où cela est nécessaire pour exécuter les obligations d’Eventbrite dans le cadre de l’accord, ou comme cela est autrement autorisé par les lois sur la protection des données. Sans limiter ce qui précède, Eventbrite (i) ne « vendra » pas ou ne « partagera » pas les renseignements personnels, tel que ces termes sont définis dans la LPCC; (ii) Eventbrite ne conservera pas, n’utilisera pas et ne divulguera pas ces renseignements en dehors de la relation commerciale directe entre l’organisateur et Eventbrite, sauf si les lois sur la protection des données l’autorisent, ou (iii) ne conservera pas, n’utilisera pas et ne divulguera pas les renseignements personnels à des fins autres que les objectifs commerciaux spécifiés dans le présent ATD ou autrement autorisés par les lois sur la protection des données.   Eventbrite respectera toutes les restrictions applicables en vertu des lois sur la protection des données concernant la combinaison de renseignements personnels avec des renseignements personnels qu’Eventbrite reçoit de la part d’une ou de plusieurs autres personnes, ou qu’Eventbrite recueille lors de toute interaction avec un membre du public.

2.1.3 Avoir en place des mesures de sécurité techniques et organisationnelles qui comprennent, sans s’y limiter, les mesures décrites ici : https://www.eventbrite.ca/security/ ;

2.1.4 Avertir l’organisateur en cas de violation de la sécurité des données sans délai excessif, sauf interdiction légale ou instruction contraire d’une autorité chargée de l’application de la loi ou de la protection des données. Dans le cas d’une violation de la sécurité des données, Eventbrite, à sa seule discrétion, peut fournir une notification de violation de données aux personnes concernées directement. Lorsque Eventbrite ne fournit pas une telle notification, Eventbrite doit fournir une assistance raisonnable, lorsque les lois en vigueur sur la protection des données l’exigent et à la demande de l’organisateur, pour permettre à ce dernier de se conformer à ses obligations en matière de violation de données en tant que contrôleur de données ou entreprise.

2.1.5 S’assurer que son personnel est assujetti aux obligations contraignantes de confidentialité en ce qui concerne les renseignements personnels des consommateurs traités par Eventbrite au nom de l’organisateur.

2.1.6 Imposer des obligations à ses sous-traitants ultérieurs ayant accès aux renseignements personnels des consommateurs traités par Eventbrite pour le compte de l’organisateur qui sont identiques ou équivalentes à celles définies dans le présent article 2 par un contrat écrit, et rester entièrement responsable envers l’organisateur de tout manquement d’un sous-traitant ultérieur à remplir ses obligations vis-à-vis des renseignements personnels.

2.1.7 Fournir une assistance raisonnable à l’organisateur pour qu’il réponde aux demandes de droits individuels ou à d’autres communications reçues en vertu des lois sur la protection des données applicables de la part de toute autorité de protection des données applicable ou du consommateur dont les renseignements personnels font l’objet d’un traitement par Eventbrite au nom de l’organisateur. Si un consommateur soumet une demande de suppression de renseignements personnels à Eventbrite, l’organisateur mandate et autorise par la présente Eventbrite à supprimer ou à anonymiser les renseignements personnels du consommateur pour le compte de l’organisateur.  Si nécessaire, l’organisateur informera Eventbrite de toute autre demande de droits individuels à laquelle Eventbrite doit se conformer, et fournira l’information nécessaire à Eventbrite pour se conformer à la demande.

2.1.8 Sur demande écrite de l’organisateur, mettre à sa disposition tous les renseignements raisonnablement nécessaires pour démontrer qu’il se conforme aux obligations énoncées dans le présent article 2, fournir une aide raisonnable relativement aux évaluations des répercussions sur la vie privée et la protection des données et aux consultations connexes des autorités de protection des données, et permettre et collaborer à toute vérification. Toutes les vérifications sur place doivent être : i) autorisées uniquement si Eventbrite a reçu un préavis raisonnable; ii) assujetties à des engagements de confidentialité appropriés; et iii) limitées à une fois tous les trois (3) ans et uniquement pour évaluer une lacune suspecte après avoir épuisé tous les autres moyens raisonnables; et

2.1.9 Sauf pour ces renseignements personnels vis-à-vis desquelles Eventbrite agit en tant que contrôleur de données ou entreprise, retourner, supprimer ou détruire (selon le choix de l’organisateur) les renseignements personnels des consommateurs traités à la demande de l’organisateur et les copies s’y rapportant, à la demande de l’organisateur (à moins que la loi en vigueur n’exige le stockage desdits renseignements personnels).

2.2 Par la présente, l’organisateur consent et autorise Eventbrite à divulguer ou à transférer, ou à permettre l’accès aux renseignements personnels, à ses sous-traitants ultérieurs actuels (c.-à-d. ceux qui sont énumérés sur le site Web d’Eventbrite à la date d’entrée en vigueur du présent ATD ou de l’accord, selon le document le plus récent des deux) (les « sous-traitants ultérieurs actuels ») à traiter les renseignements personnels pour le compte de l’organisateur

2.3 Par la présente, l’organisateur consent à ce qu’Eventbrite nomme des sous-traitants ultérieurs supplémentaires et de remplacement (« sous-traitants ultérieurs de remplacement ») pour traiter les renseignements personnels pour le compte de l’organisateur. Eventbrite notifiera l’organisateur de l’identité des sous-responsables du traitement des données de remplacement prévus (i) par courriel, si l’organisateur a choisi de recevoir de telles notifications par courriel, et (ii) par la mise à jour du site Eventbrite (l’organisateur doit régulièrement vérifier et examiner le site Eventbrite pour voir si de tels changements ont été effectués). Les organisateurs qui souhaitent recevoir un avis de remplacement de sous-responsables du traitement des données par courriel doivent s’inscrire et s’abonner à l’aide de ce formulaire  (l’organisateur est seul responsable de l’exactitude de ses coordonnées). Eventbrite donnera également la possibilité à l’organisateur de s’opposer à des changements prenant place après l’entrée en vigueur de l’entente, conformément aux termes indiqués ci-après à l’article 2.4 de cet addenda.

Pour dissiper tout doute, les droits de résiliation figurant dans la présente doivent s’appliquer seulement dans les cas d’oppositions au sous-traitant de remplacement désigné après la date d’entrée en vigueur de cet ATD qui ne représentent pas un recours selon les modalités décrites dans la présente, et ne doivent pas s’appliquer aux sous-traitants actuels.

2.4 L’organisateur soulèvera toute opposition à la nomination de sous-traitants ultérieurs de remplacement dans les dix (10) jours suivant la publication des modifications sur son site Web par Eventbrite. L’organisateur doit envoyer son opposition à privacy@eventbrite.com avec l’objet « Opposition au sous-traitant de remplacement ».

Sous réserve que l’opposition de l’organisateur : (i) concerne l’aptitude du sous-responsable du traitement des données de remplacement à permettre à Eventbrite de respecter matériellement ses obligations en matière de protection des données en vertu du présent ATD; et (ii) inclut des renseignements suffisants pour soutenir son opposition et fournit des exemples précis, Eventbrite déploiera alors des efforts commercialement raisonnables pour étudier l’opposition et répondre à l’organisateur dans les trente (30) jours suivant la date de réception de l’opposition de l’organisateur au moyen de la méthode d’accommodation déterminée par Eventbrite.

Si Eventbrite détermine, à sa seule discrétion, qu’il ne peut pas tenir compte de l’opposition de l’organisateur, sur avis d’Eventbrite, l’organisateur peut choisir de mettre fin à l’entente en fournissant un avis écrit à Eventbrite, et se conformer aux modalités décrites dans la présente, qui doit être son seul et unique recours. Sans se limiter à ce qui précède, la résiliation de l’organisateur en vertu de cet article 2.4 sera reconnue comme une résiliation additionnelle de l’organisateur aux fins de l’article « Modalités et résiliation » de l’entente (le cas échéant) et, si elle est exercée, sera reconnue comme une résiliation selon cet article. Un tel avis doit être envoyé à legal@eventbrite.com et faire référence à l’article 2.4 de l’ATD. Le jour où Eventbrite reçoit un avis de résiliation écrit de l’organisateur en vertu de cet article 2.4 sera considéré comme la « date d’opposition » dans cet ATD. Si l’organisateur choisit de mettre fin à l’entente en conséquence d’un sous-responsable du traitement des données de remplacement, rien dans cet article 2 ne doit libérer l’organisateur de ses paiements et/ou de ses obligations de repaiement à Eventbrite selon cette Entente.

Sans limiter les autres droits et recours d’Eventbrite, si l’organisateur résilie l’entente conformément à l’article 2.4, alors, l’organisateur paiera immédiatement à Eventbrite (1) tous les montants accumulés et dus à Eventbrite, y compris, mais sans s’y limiter, les obligations de payer et/ou de rembourser à Eventbrite les frais, les paiements aux commanditaires, les avances et/ou les paiements anticipés sur les frais d’inscription à l’événement, conformément aux conditions définies dans l’entente et uniquement dans la mesure applicable à l’organisateur, (2) si l’entente inclut un nombre minimal de billets que l’organisateur devra vendre, un montant minimal de frais d’inscription à l’événement ou de frais de gestion Eventbrite devant être traités (chaque vente ou seuil de traitement, un « seuil minimal »), et/ou une obligation de payer à Eventbrite la portion des frais de gestion qu’Eventbrite aurait reçus si un seuil minimum avait été atteint, alors l’organisateur accepte de payer à Eventbrite un montant égal à (x), montant qu’Eventbrite aurait reçu en frais de gestion si le seuil minimal avait été atteint lors de chaque terme jusqu’à la date de la résiliation (avec ledit seuil minimal calculé au prorata pour toute année partielle du terme), moins (y) le montant qu’Eventbrite a déjà reçu en frais de gestion imputables aux ventes de l’organisateur pendant le terme jusqu’à la date de ladite résiliation; et (3) 80 % des frais anticipés qu’Eventbrite aurait perçus lors du Terme restant si l’entente n’avait pas été résiliée en rapport avec (x) événements en vente sur le site à la date de l’opposition, et (y) tous les événements futurs envisagés conformément à l’entente et supposés être publiés dans les quatre-vingt-dix (90) jours suivant la date d’opposition.

2.5 Eventbrite certifie par la présente qu’elle comprend les restrictions et obligations énoncées dans le présent DPA et qu’elle s’y conformera. Eventbrite informera l’organisateur si elle détermine qu’elle ne peut plus respecter ses obligations en vertu des lois sur la protection des données.

2.6 L’organisateur a le droit, sur préavis de quatorze (14) jours ouvrables, de prendre des mesures raisonnables et appropriées pour arrêter et remédier à toute utilisation non autorisée des renseignements personnels par Eventbrite.

3. Transferts transfrontaliers des données.

3.1 L’organisateur accepte qu’Eventbrite puisse transférer les renseignements personnels des consommateurs à divers lieux dans le cadre de la fourniture de services. Les transferts seront effectués conformément aux mécanismes de transfert légalement exécutoires lorsque les lois sur la protection des données en vigueur l’exigent. Le mécanisme de transfert exclusif d’Eventbrite pour les données exportées de l’Espace économique européen, du Royaume-Uni et de la Suisse est l’utilisation de clauses contractuelles types , qui ont été pré-signées par Eventbrite pour les dossiers de conformité de l’organisateur. Pour effectuer des transferts à partir du Royaume-Uni, Eventbrite a également incorporé l’addenda des CCT du Royaume-Uni à la section 3.2 du présent ATD.

3.2 Transferts à partir du R-U. 3.2 En ce qui concerne les renseignements personnels Eventbrite transférés du Royaume-Uni pour lesquelles la loi du Royaume-Uni (et non la loi de tout territoire de l’EEE) régit le caractère international du transfert, l’addenda des CCT du R.-U. fait partie du présent ATD et a préséance sur le reste du présent ATD tel qu’énoncé dans cet addenda des CCT du R.-U., à moins que le Royaume-Uni ne publie des mises à jour de l’addenda des CCT du R-U, auquel cas l’addenda mis à jour des CCT du R-U prévaudra. Les termes utilisés dans la présente disposition correspondent aux définitions figurant dans l’addenda des CCT du R-U. L’organisateur accepte par la présente de se conformer à l’addenda aux CCT du R-U, incorporé dans le présent ATD par cette référence et complété comme suit :

1. Dans le tableau 1, les renseignements relatifs aux parties désignent les parties énoncées à l’annexe I des nouvelles CCT de l’UE , comme signées par les parties en vertu du présent ATD.

2. Dans le tableau 2, les CCS de l’UE homologuées sont les nouvelles CCS de l’UE  telles qu’elles sont exécutées par les parties conformément au présent ATD.

3. Dans le tableau 3, l’annexe 1A et l’annexe 1B sont celles qui figurent à l’annexe I des nouvelles CCT de l’UE  telles qu’elles sont exécutées par les parties en vertu du présent ATD.

4. Le tableau 3 de l’annexe II doit figurer dans l’annexe II des nouvelles CCT de l’UE  telles qu’elles sont exécutées par les parties en vertu du présent ATD.

5. Dans le tableau 4, l’une ou l’autre des parties peut mettre fin au présent ATD conformément à la section 19 de l’addendum CCS du Royaume-Uni.

3.3. Transferts à partir de la Suisse. En ce qui concerne les renseignements personnels transférés de Suisse, la loi suisse (et non le droit dans tout territoire de l’EEE) régit le caractère international du transfert, (i) les références au RGPD dans la clause 4 des nouvelles CCT de l’UE sont, dans la mesure, modifiées pour faire référence à la loi fédérale suisse sur la protection des données ou à son successeur, et le concept d’autorité de contrôle inclut le Commissaire fédéral suisse de la protection des données et de l’information; et (ii) telles qu’elles sont modifiées, les nouvelles CCT de l’UE sont incorporées par renvoi et s’appliquent, comme faisant partie du présent ATD, et prévalent sur le reste de cet ATD dans la mesure du conflit.

3.4. Transferts à partir de l’UE. En ce qui concerne les renseignements personnels transférés de l’Espace économique européen, les nouvelles CCT de l’UE  incorporées aux présentes s’appliquent et font partie intégrante du présent ATD. En cas de conflit entre une disposition des nouvelles CCT de l’UE et une disposition du présent ATD, les nouvelles CCT de l’UE s’appliqueront.