Cet Addendum ("Addendum DORA") modifie et fait partie de l'Accord (tel que défini ci-dessous) entre le Fournisseur et vous ("Client"). 

Aux fins de cet addendum DORA, les termes suivants auront la signification suivante :

• "Accord" désigne tout accord entre le Fournisseur et le Client pour les Services. Un tel accord peut avoir divers titres, tels que "Bon de commande", "Commande de vente", "Conditions d'utilisation", "Conditions de service", "Accord SaaS", "Accord de services", "Addendum de traitement des données".
• "DORA" désigne le Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique pour le secteur financier et modifiant les Règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011. 

Les termes suivants ont la même signification que dans le DORA : "fonctions critiques ou importantes", "attaque cybernétique", "menace cybernétique", "résilience opérationnelle numérique", "sous-traitant TIC établi dans un pays tiers", "risque TIC", "services TIC", "risque de tiers TIC", "fournisseur de services tiers TIC", et "incident majeur lié aux TIC".

Tous les autres termes en majuscules ont la même signification que dans l'Accord pertinent.

Cet addendum DORA ne s'applique que lorsque le Client est une entité couverte par le DORA, le Fournisseur est un prestataire de services tiers en TIC, et les services fournis par le Fournisseur au Client en vertu de l'Accord sont des "services TIC." En cas de conflit entre cet addendum DORA et l'Accord, l'addendum DORA prévaudra. 

3.1 Sous-traitance. Le fournisseur engage des sous-traitants ICT établis dans un pays tiers ("sous-traitants ICT") pour aider au traitement des données clients conformément à l'accord. Le fournisseur doit conclure des arrangements contractuels avec ces sous-traitants ICT exigeant un niveau de conformité équivalent aux termes décrits dans cet addendum DORA et doit maintenir une supervision et un contrôle appropriés de ces sous-traitants ICT. Le fournisseur doit maintenir une liste à jour des sous-traitants ICT à https://www.pdffiller.com/en/subprocessors.htm (mise à jour de temps à autre). Le fournisseur informera de toute mise à jour concernant https://www.pdffiller.com/en/subprocessors.htm concernant l'ajout ou le remplacement de sous-traitants ICT au moins dix (10) jours calendaires avant que le nouveau sous-traitant ICT ne traite les données clients. Pour leur propre commodité, le client peut s'abonner à une mise à jour de la liste des sous-traitants via le formulaire de demande d'action de sous-traitant. Le client peut s'opposer à de tels changements par écrit dans les cinq (5) jours calendaires suivant cette mise à jour, à condition que cette objection soit fondée sur un risque matériel que ce changement pose au client en vertu de DORA (une "Objection"). En cas d'objection, les parties discuteront de ces préoccupations de bonne foi dans l'intention d'atteindre une résolution. Si les parties ne parviennent pas à une résolution, le client, en tant que seul et exclusif recours, peut résilier l'accord pour convenance, à condition que le client fournisse un avis écrit au fournisseur dans les cinq (5) jours calendaires suivant la notification de l'engagement du sous-traitant ICT. Le client n'aura droit à aucun remboursement des frais payés avant la date de toute résiliation conformément à cette section.

3.2 Lieux de service ICT. Les lieux où les fonctions contractées et sous-traitées des services ICT sont fournis, y compris où les données sont traitées ou stockées, sont décrits à https://www.pdffiller.com/en/subprocessors.htm (mise à jour de temps à autre). Toute modification de ces lieux doit être divulguée comme décrit dans 3.1 ci-dessus.

3.3 Sécurité des données. Les dispositions concernant la disponibilité, l'authenticité, l'intégrité et la confidentialité concernant la protection des données, y compris les données personnelles, sont décrites plus en détail dans le DPA du fournisseur à https://www.pdffiller.com/en/dpa.htm.

3.4 Récupération des données. Dans le cas où le fournisseur devient insolvable, interrompt ses opérations commerciales ou résilie le contrat, il mettra à disposition des fonctionnalités ou fournira un support au client pour garantir l'accès, la récupération ou le retour des données clients, y compris des données personnelles et des données non personnelles traitées par le service ICT.

3.5 Accord de niveau de service. Les niveaux de service des services ICT sont fournis au client comme décrit dans l'accord. 

3.6 Réponse aux incidents ICT. Le Prestataire doit établir, maintenir et documenter un processus de gestion des incidents TIC capable de détecter, gérer, enregistrer et résoudre les incidents liés aux TIC. Ce processus doit couvrir tous les incidents liés aux TIC ayant un impact sur la fourniture du Service, y compris, mais sans s'y limiter, ceux affectant la confidentialité, l'intégrité ou la disponibilité des systèmes ou services TIC, ainsi que les violations de données à caractère personnel. Le Prestataire doit classifier tous ces incidents conformément aux critères et seuils de matérialité pour un "incident majeur lié aux TIC" ou une "cybermenace significative", tels que spécifiés dans le règlement DORA (Règlement (UE) 2022/2554) et les normes techniques de réglementation (NTR) associées sur la classification des incidents. En cas d'incident majeur lié aux TIC ayant un impact sur le Service, le Prestataire notifiera dans les meilleurs délais le contact de réponse aux incidents désigné par le Client, dès la prise de connaissance de l'incident, pour permettre au Client de remplir ses obligations de déclaration réglementaire obligatoires.

3.7 Coopération avec les autorités compétentes. Le fournisseur coopérera pleinement avec le client et ses autorités compétentes conformément à l'article 30(2)(g) de DORA.

3.8 Résiliation. Les parties (i) ont le droit de résilier les dispositions de l'accord relatives aux services ICT et (ii) se fourniront mutuellement un avis de résiliation comme spécifié dans l'accord. En plus des droits de résiliation prévus dans l'accord, le client sera autorisé à résilier les dispositions de l'accord relatives aux services ICT qui répondent à une ou plusieurs des conditions suivantes spécifiées dans l'article 28(7)(a) de DORA :

violation significative par le fournisseur de services tiers ICT des lois, règlements ou termes contractuels applicables ;

circonstances identifiées lors du suivi des risques tiers ICT qui sont jugées capables d'altérer la performance des fonctions fournies par l'arrangement contractuel, y compris des changements matériels qui affectent l'arrangement ou la situation du fournisseur de services tiers ICT ;

faiblesses avérées du fournisseur de services tiers ICT concernant sa gestion globale des risques ICT et, en particulier, dans la manière dont il garantit la disponibilité, l'authenticité, l'intégrité et la confidentialité des données, qu'elles soient personnelles ou autrement sensibles, ou des données non personnelles ;

lorsque l'autorité compétente ne peut plus superviser efficacement l'entité financière en raison des conditions ou des circonstances liées à l'arrangement contractuel respectif.

En cas de résiliation, le client est responsable de s'assurer qu'il a récupéré ou conservé toutes les informations et actifs des services ICT.

3.9 Formation et sensibilisation à la sécurité. Le fournisseur veillera à ce que son personnel responsable des services ICT ait reçu une formation appropriée en matière de sensibilisation à la sécurité et de résilience opérationnelle numérique. Lorsque le client identifie que la formation du fournisseur n'est pas suffisante pour répondre aux programmes de formation à la sensibilisation à la sécurité ICT et à la formation à la résilience opérationnelle numérique tels que spécifiés dans l'article 13(6) de DORA, le fournisseur et le client conviendront mutuellement de toute participation supplémentaire aux programmes de formation à la sensibilisation à la sécurité ICT et à la formation à la résilience opérationnelle numérique jugés nécessaires pour chaque partie afin de répondre à ses obligations en vertu de DORA. 

Sauf modification par le présent addendum DORA, tous les autres termes de l'accord restent inchangés.