Annexe complémentaire relative au Data Act

La présente annexe complète et précise les Conditions Générales de Vente de WANAO

1. Définition

Dans le cadre de la présente annexe, les Parties conviennent que les termes et expressions débutant par une majuscule et qui ne sont pas définis dans le corps des Conditions Générales de Vente auront la signification suivante :

« Bases de Données » : désignent les assemblages structurés de données au format numérique, périodiquement enrichis et mis à jour par le Prestataire et mis à disposition du Client par le Prestataire dans le cadre de certains Services.

« Données Clients » : désignent les documents, informations, ressources, contenus ou données fournis par le Client ou ses Utilisateurs au Prestataire ou à ses sous-traitants pour les besoins de l’exécution des Services ou dans le cadre de l’utilisation des Services, à l’exclusion des Informations Confidentielles du Prestataire ou de ses sous-traitants, des Services eux-mêmes, des Bases de Données et des Solutions Logicielles elles-mêmes.

« Informations Confidentielles » : désignent les informations non publiques, de toute nature, y compris technique, commerciale, financière, juridique, et notamment mais non limitativement les documents, les résultats, les méthodes, formules, idées, inventions, procédés, algorithmes, stratégies, configuration de réseaux, architecture de systèmes, le savoir-faire, les secrets d’affaires, les dessins, designs, organigrammes, croquis, plans, dossiers techniques, cahiers des charges, schémas de principe, business plans et plans marketing, le Contrat et sa négociation, les identifiants et mots de passe pour accéder aux Solutions Logicielles, par tout moyen, que ces éléments soient ou non présentés comme confidentiels, quel que soit leur support ou leur forme en relation avec le Contrat, les Services, les Solutions Logicielles ou les Bases de Données. Ne sont toutefois pas des Informations Confidentielles, (i) les informations pour lesquels la Partie pourra prouver qu’il s’agit d’informations qui étaient déjà en sa possession antérieurement à la communication invoquée (ce qu’elle devra prouver par tout document écrit), (ii) celles qui sont publiquement connues à la date de leur divulgation ou le sont devenues postérieurement à celle-ci sans qu’une faute puisse lui être imputée, (iii) les informations divulguées par un tiers en droit de les communiquer, (iv) les informations résultant de développements internes qu’elle a entrepris de bonne foi sans avoir eu accès au préalable à ces informations, et/ou (v) les informations qui ont fait l’objet d’une autorisation écrite préalable de divulgation à des Tiers.

« Règlement (UE) 2023/2854 » : désigne le règlement (UE) 2023/2854 du Parlement européen et du Conseil du 13 décembre 2023 concernant des règles harmonisées portant sur l’équité de l’accès aux données et de l’utilisation des données et modifiant le règlement (UE) 2017/2394 et la directive (UE) 2020/1828 (règlement sur les données).

« Solutions Logicielles » : désignent le(s) logiciels, site(s) Internet, plateformes et applications, fournis en mode Software-as-a-Service (SaaS), ainsi que les API, mis à disposition du Client dans le cadre de certains Services.

« Tiers » : désigne toute personne autre que le Client ou les Utilisateurs.

« Utilisateur » : désigne les personnes physiques, salariés ou dirigeants du Client, dont le nombre est fixé contractuellement, qui :

bénéficient de la licence d’utilisation des Solutions Logicielles concédée par le Prestataire au Client dans le cadre du Contrat,

et/ou sont destinataires des Services chez le Client dans le cadre du Contrat.

2. Résiliations spéciales sans faute en application du Règlement sur les données et réversibilité (ou plan de sortie)

2.1. La présente annexe concerne uniquement les Contrats au titre desquels le Prestataire fournit des Services impliquant le traitement de données au sens du Règlement (UE) 2023/2854, à savoir la fourniture de Solutions Logicielles et/ou de Bases de données au sein desquels des Données Clients sont traitées, si ces Services répondent à la définition de l’article 2(8) du Règlement (UE) 2023/2854.

2.2. Pour ces Services, le Client dispose de la faculté de demander la résiliation du Contrat au titre du Service concerné au Prestataire et de bénéficier d’un accompagnement du Prestataire à la réversibilité (ou plan de sortie) dans les cas suivants :

le Client veut faire reprendre les Services par un Tiers librement désigné par lui,

le Client veut exporter les Données Clients vers ses infrastructures TIC sur site (au sens du Règlement (UE) 2023/2854),

le Client ne souhaite plus utiliser les Services et souhaite voir supprimer l’ensemble des Données Clients.

Les modalités de résiliation et les obligations de chaque Partie dans le cadre de ces cas de résiliation spécifiques prévus par le Règlement (UE) 2023/2854 sont détaillées ci-après.

2.3 Le Prestataire s’engage à concourir au plan de sortie du Client afin d’assurer la récupération des Données Clients et de permettre au Client de reprendre sans difficulté, ou de faire reprendre par un Tiers librement désigné par lui, la réalisation de services. Elle s’engage notamment à :

concourir au plan de sortie du Client, y compris en communiquant à ce dernier les informations qu’elle estime pertinentes au regard dudit plan de sortie ;

fournir une assistance raisonnable au Client et aux Tiers autorisés par le Client ;

agir avec la diligence requise pour maintenir la continuité des Services et poursuivre la fourniture des Services jusqu’à la résiliation effective du Contrat ;

fournir des informations claires sur les risques connus pour la continuité de la fourniture des Services ;

veiller à ce qu’un niveau élevé de sécurité soit maintenu tout au long du processus de changement de fournisseur (le cas échéant), en particulier en ce qui concerne la sécurité des Données Client pendant leur transfert et le maintien de la sécurité desdites Données Client pendant la période de récupération de trente (30) jours, conformément au droit de l’Union ou au droit national applicables.

2.4. Le processus de résiliation et de réversibilité est réalisé en quatre étapes : (i) la période de préavis suivant la notification de la résiliation, (ii) la période transitoire, (iii) la période de récupération/transfert des données (ou période de réversibilité) et (iv) la résiliation, étant précisé que la troisième étape est optionnelle, au choix du Client.

2.5. La notification de la résiliation au titre du présent article 2 est réalisée par le Client par lettre recommandée avec accusé de réception. Elle contient toutes informations utiles pour permettre au Prestataire d’accompagner le Client dans son plan de sortie, en précisant son choix de plan de sortie : (i) export des Données Clients pour changer de fournisseur de services de traitements des Données Client, ou (ii) export des Données Clients vers ses infrastructures TIC sur site, et/ou (iii) suppression de l’ensemble des Données Clients. Le Client doit aussi préciser dans sa notification s’il souhaite conserver une partie des Services, les Services concernés par la résiliation et le plan de sortie, les Données Clients concernées par le plan de sortie.

2.6. Cette notification doit intervenir au moins deux (2) mois :

avant le début de la période transitoire si le Client sollicite un transfert de ses Données Client soit vers un Tiers, soit vers ses propres infrastructures TIC sur site

avant la date de résiliation souhaité si le Client sollicite la simple suppression de ses Données Client.

Ainsi, dans le cas d’une demande de sortie sans transfert des Données Client avec une uniquement une suppression des Données Clients, le contrat est résilié dès la fin de la période de préavis suivant la notification de la résiliation. Dans ce cas, il n’y a ni période transitoire ni période de récupération/transfert des Données Client. La résiliation définitive du Contrat sera notifiée au Client.

2.7.A réception de la notification, si le Client sollicite un transfert de ses Données Client, le Prestataire communiquera au Client, dans un délai maximum de quatorze (14) jours calendaires, des informations plus précises sur la procédure de sortie correspondant au type plan de sortie souhaité par le Client, en incluant des informations sur les méthodes et format de changement de fournisseur et de portage des Données Client disponibles, ainsi que sur les restrictions et les limitations techniques connues du Prestataire seront communiquées au Client par le Prestataire.

Lorsqu’il est techniquement impossible de respecter une période transitoire de 30 jours, le Prestataire en informe le Client dans ce même délai de quatorze (14) jours calendaires à compter de la réception de la notification du Client, en justifiant les motifs de l’impossibilité technique, et lui communique une nouvelle période transitoire, qui ne pourra excéder sept (7) mois.

2.8. A l’issue de la période du préavis de résiliation fixé par le Client dans sa notification initiale, une période de transition de trente (30) jours calendaires s’ouvrira (sauf cas de l’impossibilité technique précitée ouvrant une période transitoire plus longue) afin de permettre au Client et au Prestataire de préparer la fin du Contrat. Pendant cette période, le Prestataire s’engage à assurer la continuité de la fourniture des Services concernés.

La période transitoire est toutefois susceptible d’être modifiée selon les modalités suivantes :

réduction, d’un commun accord des Parties,

le Client pourra demander une fois au Prestataire une prolongation de la période transitoire, pour une durée adaptée à la transition qui n’excèdera pas trois (3) mois, afin que la réversibilité (ou plan de sortie) puisse être réalisée dans des conditions optimales.

2.9. A l’issue de la période transitoire, le Client disposera d’une ultime période de trente (30) jours pour récupérer les Données Client.

Une fois la récupération des Données Client effectuée et l’achèvement avec succès de la récupération des Données Client par le tiers désigné par le Client, ou par le Client lui-même, ou encore, une fois les Données Client supprimées, selon le plan de sortie choisi par le Client, le Contrat sera automatiquement résilié. La résiliation définitive du Contrat sera notifiée au Client.

2.10. Si la résiliation sollicitée par le Client en application du présent article 2 aboutit à une résiliation anticipée du Contrat au regard de la durée initiale ou de la durée de renouvellement en cours au moment de la notification de résiliation du Client sans respecter le délai de préavis prévue pour la dénonciation du Contrat prévu à l’article 15.4 des CGV, et en dehors des cas de dénonciation du Contrat visé à l’article 15.2 des CGV, le Client sera redevable envers le Prestataire de 50% des sommes dues par le Client si le Contrat était arrivé jusqu’à son terme augmentées des remises/avantages qui avaient été consentis au Client par le Prestataire en contrepartie de la durée ferme de son engagement. Dans le cas où le Client aurait déjà réglé la totalité de la somme due au titre de la durée initiale ou de la durée de renouvellement en cours, le Prestataire remboursera le Client au prorata de la période effectivement exécutée après déduction de la pénalité précitée.

2.11. Le Prestataire pourra également facturer au Client des frais de réversibilité, qui ne peuvent dépasser les coûts qu’elle supporte pendant la procédure de réversibilité. Un bon de commande correspondant à cette prestation sera soumis au Client à cet effet dans la réponse apportée par le Prestataire prévue à l’article 2.6 ci-dessus.

2.12. Le Prestataire met à la disposition du Client et tient à jour un registre contenant des informations détaillées sur les structures et les formats de données exportables, ainsi que les normes et spécifications d’interopérabilités, accessible sur le site Internet du Prestataire.

2.13. Seules les Données Client, générées ou collectées à compter du 12 septembre 2025, font l’objet des engagements du Prestataire relatifs à la réversibilité. Les Données Clients antérieures à cette date, ainsi que les Informations Confidentielles sont expressément exclues du processus.

2.14. Le Client s’engage à faire ses meilleurs efforts et à collaborer avec le Prestataire pour réaliser la réversibilité des Données Client. Il fournira toutes les informations pertinentes au Prestataire et l’informera de ses décisions. Il demeure à tout moment responsable de l’importation et d’utilisation des Données Client dans ses propres systèmes ou dans les systèmes du fournisseur de service de traitement de données Tiers, y compris lorsqu’il a recours aux services d’un Tiers. Le Client et les Tiers mandatés par lui, s’engagent à respecter les droits de propriété intellectuelle de tout matériel ou donnée fournie dans le cadre de la procédure du présent article 2, ainsi que les secrets d’affaires du Prestataire. Le Client s’engage à ne permettre l’accès à ces documents et leur utilisation à des Tiers mandatés par lui que dans la mesure nécessaire à la réalisation du processus de réversibilité et uniquement sur autorisation expresse du Prestataire.

2.15. Chacune des Parties s’engage à exécuter de bonne leurs obligations afin que le plan de sortie soit effectif, permette le transfert en temps utile des Données Client et permette la continuité du service de traitement de données concerné. Le Client agira de bonne foi pour mettre en œuvre toutes les instructions liées au processus de changement de fournisseur, d’export, ou de suppression tel qu’elles lui seront communiquées par le Prestataire.

2.16. Il est rappelé que le présent article 2 et les obligations issues du Règlement (UE) 2023/2854 n’engendrent pour le Prestataire aucune obligation de développer de nouvelles technologies ou de nouveaux services, ou de divulguer ou transférer des Informations Confidentielles au Client ou à des Tiers, ou encore, de compromettre la sécurité et l’intégrité des Services et du Prestataire.

3. Protection des données non personnelles contre l’accès illicite et leur transfert par des autorités publiques

Le Client peut accéder sur le site Internet du Prestataire aux mesures adoptées par le Prestataire pour empêcher l’accès international des autorités publiques aux données à caractère non personnel détenues dans l’Union européenne (y compris les Données Client) ou le transfert international de ces données lorsque cet accès ou ce transfert risque d’être en conflit avec le droit de l’Union européenne ou du droit français, conformément à l’article 28 du Règlement (UE) 2023/2854.