1. CHAMP D’APPLICATION ET PORTÉE
Le présent supplément relatif à la loi PIPL de l’avenant sur la protection des données d’Aryaka (ci-après dénommé « le Supplément ») s’applique au traitement des données à caractère personnel des personnes physiques situées en Chine continentale (ci-après dénommées « données à caractère personnel chinoises ») dans le cadre des services d’Aryaka. Le présent Supplément traite des obligations spécifiques à la PIPL et doit être lu conjointement avec l’avenant relatif à la protection des données (ci-après dénommé « DPA »), qui reflète les principes internationaux de protection des données conformes au cadre de la PIPL, afin d’obtenir des informations complètes concernant les pratiques d’Aryaka en matière de traitement des données. Le présent Supplément complète l’avenant relatif à la protection des données (« DPA ») et en fait partie intégrante. En cas de conflit entre le présent Supplément et l’Ade « Protection des données » concernant les Données à caractère personnel chinoises, le présent Supplément prévaut.
Les termes en majuscules qui ne sont pas définis dans le présent document ont le sens qui leur est donné dans le DPA.
2. DÉFINITIONS
Aux fins du présent supplément, les termes suivants ont la signification indiquée ci-dessous :
(a) Le terme « données à caractère personnel chinoises » désigne toute information relative à une personne physique identifiée ou identifiable résidant en Chine continentale, à l’exclusion des informations anonymisées, telles que définies à l’article 4 de la PIPL.
(b) Le terme « PIPL » désigne la loi sur la protection des données à caractère personnel de la République populaire de Chine (entrée en vigueur le 1er novembre 2021), telle que modifiée de temps à autre.
(c) Le terme « RPC » désigne la République populaire de Chine.
(d) Le terme « données à caractère personnel sensibles » a le sens qui lui est donné à l’article 28 de la PIPL.
(e) Le terme « partie mandatée » désigne une entité qui traite des données à caractère personnel pour le compte d’un responsable du traitement et selon ses instructions, conformément à l’article 21 de la PIPL.
(f) On entend par « responsable du traitement des données à caractère personnel » toute organisation ou toute personne physique qui détermine de manière autonome les finalités et les moyens du traitement des données à caractère personnel, tel que défini à l’article 73 de la PIPL.
3. RÔLE ET FINALITÉ DU TRAITEMENT
3.1 Lorsqu’Aryaka traite des données à caractère personnel chinoises dans le cadre de la fourniture de services à ses clients, Aryaka agit en tant que « partie mandatée » (telle que définie à la section 2) pour le compte du client, qui est le responsable du traitement des données à caractère personnel. Aryaka traite les données à caractère personnel chinoises uniquement aux fins de la fourniture, du suivi et de l’assistance relative aux services contractuels, et conformément aux instructions du client, dans le respect du Contrat et des instructions documentées prévues dans l’Accord sur le traitement des données (DPA). Aryaka ne traitera pas les données à caractère personnel chinoises au-delà des finalités, des méthodes ou du champ d’application convenus dans le Contrat et l’Accord sur le traitement des données (DPA).
3.2 Le Client, en tant que sous-traitant des données à caractère personnel, doit s’assurer qu’une base juridique valable est établie pour le traitement des données à caractère personnel chinoises, y compris l’obtention de tout consentement requis en vertu de la PIPL. Lorsque la PIPL exige un consentement distinct pour des activités de traitement spécifiques (telles que les transferts transfrontaliers ou le traitement de données à caractère personnel sensibles), ce consentement doit être obtenu par le Client avant de fournir les données à caractère personnel chinoises concernées à Aryaka.
4. INFRASTRUCTURES D’INFORMATION CRITIQUES
Aryaka fournit des services mondiaux de réseau et de sécurité qui permettent la connectivité des entreprises entre différentes régions, y compris en Chine continentale. En vertu de la loi chinoise sur la cybersécurité, le statut d’opérateur d’infrastructure d’information critique (« CIIO ») s’applique aux opérateurs des secteurs spécifiquement désignés. Les services d’Aryaka ne relèvent pas des secteurs spécifiquement désignés et Aryaka ne traite pas de données à caractère personnel sensibles telles que définies par la PIPL. Par conséquent, Aryaka n’est pas soumise aux exigences de localisation des données spécifiques aux CIIO prévues par la PIPL ou la loi sur la cybersécurité de la République populaire de Chine.
5. TRANSFERTS TRANSFRONTALIERS
5.1 Dans le cadre de la fourniture de ses services, Aryaka peut traiter des données à caractère personnel chinoises qui sont transférées hors de la Chine continentale à des fins de prestation de services, de surveillance et d’assistance.
5.2 À la date d’entrée en vigueur du présent supplément, le volume de données à caractère personnel chinoises traitées par Aryaka dans le cadre de ses services n’atteint pas les seuils nécessitant la mise en place d’un mécanisme officiel de transfert transfrontalier de données, conformément aux « Dispositions relatives à la promotion et à la réglementation des flux transfrontaliers de données » (en vigueur à compter du 22 mars 2024). Par conséquent, les activités de traitement actuelles d’Aryaka, telles que stipulées dans l’accord de traitement des données (DPA), répondent aux exigences relatives aux transferts transfrontaliers simplifiés autorisés par la législation de la République populaire de Chine.
5.3 Aryaka surveillera en permanence les volumes de données concernés et mettra en œuvre tous les moyens commercialement raisonnables pour mettre en place un mécanisme officiel de transfert transfrontalier de données, conformément à la législation chinoise applicable, dès que les seuils pertinents seront atteints.
6. ÉVALUATION D’IMPACT RELATIVE À LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL
Sur demande raisonnable du Client, Aryaka fournira les informations raisonnablement nécessaires pour permettre au Client de s’acquitter de son obligation de réaliser une analyse d’impact relative à la protection des données à caractère personnel, conformément à l’article 55 de la PIPL, dans le cadre du traitement confié des données à caractère personnel chinoises.