Contrat de sous-traitance pour les Églises à l'étranger

L'église qui utilise le service en dehors de la République de Corée (l'« Église ») et Wesleysoft (la « Société ») conviennent de ce qui suit concernant le traitement, par la Société pour le compte de l'Église, des données à caractère personnel que l'Église saisit dans Wesley Gyojeok (웨슬리 교적), Wesley Jaejeong (웨슬리 재정) et Wesley Simbang Plus (웨슬리 심방플러스) (le « Service »). Le présent Contrat s'applique conjointement avec les Conditions d'utilisation de la Société, sa Politique de confidentialité et l'« Annexe à la politique de confidentialité pour les Églises à l'étranger » (l'« Annexe »). En cas de divergence entre ces documents concernant le traitement des données à caractère personnel, le présent Contrat prévaut.

Article 1 (Rôles)

1. En ce qui concerne les données à caractère personnel que l'Église saisit dans le Service, l'Église détermine les finalités et les moyens du traitement (responsable du traitement), et la Société traite les données pour le compte de l'Église (sous-traitant).
2. Il incombe à l'Église de veiller à ce que la collecte des données à caractère personnel et leur saisie dans le Service soient conformes au droit du pays de l'Église ; elle informe les membres du traitement et recueille leur consentement lorsque celui-ci est requis.

Article 2 (Description du traitement)

L'objet et la durée, la nature et la finalité du traitement, les types de données à caractère personnel et les catégories de personnes concernées sont définis à l'appendice 1.

Article 3 (Traitement sur instruction de l'Église)

1. La Société ne traite les données à caractère personnel que sur instruction documentée de l'Église. L'utilisation des fonctionnalités et le choix des paramètres par l'Église sur les écrans du Service sont considérés comme des instructions de l'Église.
2. La Société ne traite pas les données à caractère personnel à d'autres fins que la fourniture du Service, à moins d'y être tenue par la loi. Lorsque la loi exige le traitement, la Société en informe l'Église avant le traitement, sauf si la loi l'interdit.
3. Si la Société estime qu'une instruction de l'Église constitue une violation du droit relatif à la protection des données, elle en informe l'Église sans délai.

Article 4 (Confidentialité)

La Société limite au strict nécessaire le nombre de personnes autorisées à traiter les données à caractère personnel et veille à ce qu'elles soient soumises à une obligation de confidentialité. Cette obligation subsiste après la fin de leurs fonctions.

Article 5 (Mesures de sécurité)

La Société met en œuvre des mesures techniques et organisationnelles appropriées aux risques pour les données à caractère personnel, telles que décrites à l'appendice 2. La Société peut modifier ces mesures en fonction de l'évolution technique, mais sans abaisser le niveau de protection.

Article 6 (Séparation par église)

La Société conserve les données de l'Église séparément des données des autres églises et veille à ce que les utilisateurs d'autres églises ne puissent pas voir les données de l'Église.

Article 7 (Sous-traitance ultérieure)

1. L'Église autorise la Société à faire appel aux sous-traitants ultérieurs énumérés à l'appendice 3.
2. Si la Société envisage d'ajouter ou de remplacer un sous-traitant ultérieur, elle en informe l'Église au moins 30 jours à l'avance, et l'Église peut s'y opposer pour des motifs raisonnables dans ce délai. Si la Société n'accepte pas l'opposition, l'Église peut résilier le contrat de service sans pénalité.
3. La Société impose contractuellement à chaque sous-traitant ultérieur des obligations en matière de protection des données d'un niveau équivalent à celles du présent Contrat et demeure responsable envers l'Église si un sous-traitant ultérieur ne remplit pas ces obligations.

Article 8 (Assistance pour l'exercice des droits des personnes concernées)

1. Lorsque des membres ou d'autres personnes concernées exercent des droits tels que le droit d'accès, de rectification, d'effacement, à la limitation du traitement ou à la portabilité des données, la Société fournit les fonctionnalités du Service et la coopération nécessaires pour que l'Église puisse y répondre.
2. Si une personne concernée adresse une demande directement à la Société, celle-ci la transmet sans délai à l'Église et n'y répond pas directement sans instruction de l'Église.

Article 9 (Violations de données à caractère personnel)

1. Si la Société a connaissance d'un incident au cours duquel des données à caractère personnel de l'Église ont fait ou ont pu faire l'objet d'une fuite, elle en informe l'Église sans délai et, en tout état de cause, dans un délai de 48 heures après en avoir pris connaissance.
2. La notification décrit la nature et les circonstances de l'incident, les catégories et le nombre approximatif de personnes concernées et d'enregistrements de données à caractère personnel concernés, les conséquences probables, les mesures prises ou envisagées par la Société, ainsi qu'une personne de contact. Les informations qui ne peuvent pas être fournies en une seule fois le sont de manière échelonnée, au fur et à mesure qu'elles sont connues.
3. La Société fournit les informations et la coopération nécessaires pour que l'Église puisse notifier l'autorité de contrôle et informer les personnes concernées conformément au droit de son pays.

Article 10 (Autres formes d'assistance)

Compte tenu de la nature du traitement et des informations dont dispose la Société, celle-ci fournit à l'Église les informations dont elle a besoin pour remplir ses obligations en vertu du droit de son pays, telles que la garantie de la sécurité, la réalisation d'analyses d'impact relatives à la protection des données et la consultation préalable de l'autorité de contrôle.

Article 11 (Lieu de stockage et transferts internationaux)

1. La Société stocke les données de l'Église sur des serveurs situés en République de Corée et ne les transfère pas en dehors de la République de Corée, sauf dans le cas décrit à l'article 6 de l'Annexe (itinéraire).
2. Les transferts du pays de l'Église vers la République de Corée sont régis par l'article 4 de l'Annexe. Lorsque le droit de ce pays exige un instrument distinct, tel que des clauses contractuelles types, l'Église et la Société le mettent en place conjointement avec le présent Contrat.

Article 12 (Restitution et destruction après la fin du contrat de service)

1. L'Église peut télécharger ses données au moyen de la fonction d'exportation du Service avant la fin du contrat de service et pendant 90 jours après celle-ci.
2. À l'issue de ce délai, la Société détruit les données de l'Église de manière à ce qu'elles ne puissent pas être récupérées. Si l'Église demande leur destruction immédiate, la Société détruit les données sans délai. Les données dont la loi exige la conservation sont conservées pendant la durée requise.
3. Les données subsistant dans les copies de sauvegarde sont détruites après 90 jours pour les sauvegardes sur les serveurs de la Société et après 1 an pour les sauvegardes sur un dispositif de stockage distinct géré par la Société. Jusque-là, elles ne sont utilisées à aucune autre fin que la restauration.
4. À la demande de l'Église, la Société confirme la destruction par écrit.

Article 13 (Informations et audits)

1. La Société met à la disposition de l'Église les informations nécessaires pour démontrer le respect des obligations prévues par le présent Contrat.
2. L'Église peut soumettre des questions écrites une fois par an, auxquelles la Société répond gratuitement. Si l'Église ou un auditeur désigné par l'Église souhaite effectuer un audit sur place, la demande doit être présentée 30 jours à l'avance et les frais sont à la charge de l'Église. L'auditeur est tenu à une obligation de confidentialité.

Article 14 (Responsabilité)

L'Église et la Société sont chacune responsables envers l'autre des dommages causés par leur violation du présent Contrat ou de la loi. La responsabilité de la Société est limitée au montant total des redevances payées par l'Église au cours des 12 mois précédant la date à laquelle le dommage est survenu. Cette limitation ne s'applique pas aux dommages causés intentionnellement ou par une négligence grave de la Société, ni lorsque la loi ne permet pas de limiter la responsabilité.

Article 15 (Durée)

Le présent Contrat produit ses effets à compter de la date à laquelle l'Église, après avoir été approuvée par la Société, conclut le contrat de service, et jusqu'à ce que les obligations prévues à l'article 12 aient été remplies après la fin du contrat de service.

Article 16 (Droit applicable et juridiction compétente)

Le présent Contrat est régi par le droit de la République de Corée. Toutefois, les dispositions du droit relatif à la protection des données du pays de l'Église auxquelles il ne peut être dérogé par convention, ainsi que les pouvoirs de l'autorité de contrôle de ce pays, continuent de s'appliquer. Les litiges relatifs au présent Contrat relèvent du tribunal compétent pour le lieu de l'adresse de la Société.

Article 17 (Langue et conclusion)

1. La version coréenne du présent Contrat constitue l'original faisant foi. En cas de divergence entre une traduction et celle-ci, l'original coréen prévaut, sauf disposition contraire du droit du pays de l'Église.
2. Le présent Contrat est conclu lorsque l'Église sélectionne « Accepter » (동의) pour le présent Contrat à l'écran. La Société en conserve une trace et fournit un exemplaire signé à la demande de l'Église.

Appendice 1 — Description du traitement

Objet	Données des membres et documents financiers que l'Église saisit dans le Service
Catégories de personnes concernées	Les membres et leurs familles, les nouveaux venus et les visiteurs, les donateurs, le personnel de l'église et les utilisateurs du Service
Types de données à caractère personnel	Les éléments visés à l'article 2 de la Politique de confidentialité et à l'article 3 de l'Annexe — nom (nom de famille et prénom en caractères latins), sexe, date de naissance (facultative), coordonnées, adresse, photographie, fonction dans l'église, district (subdivision de la communauté) et réunion de classe (class meeting), catégorie de membre, registres de baptême et de confirmation, services rendus et profession, liens familiaux, présence, comptes rendus de visites et sujets de prière, notes d'accompagnement, registres des offrandes, registres des consentements relatifs aux données à caractère personnel, et informations sur les donateurs pour les reçus de dons de ce pays
Catégories particulières de données	Le fait d'être membre de l'église et les registres de la vie religieuse (données qui révèlent les convictions religieuses) ; les données concernant la santé que l'Église saisit dans les notes d'accompagnement
Nature et finalité	Fourniture du Service — stockage, consultation, modification, impression, exportation, sauvegarde, envoi de courriels et rédaction de textes de visite (aucune information permettant d'identifier un membre n'est transmise)
Durée	La durée du contrat de service et 90 jours après sa fin (copies de sauvegarde : article 12, paragraphe 3 — 90 jours sur les serveurs, 1 an sur le dispositif de stockage distinct)

Appendice 2 — Mesures de sécurité

• Chiffrement des données en transit (HTTPS)
• Mots de passe stockés uniquement au moyen d'une méthode irréversible
• Séparation des données par église — une barrière pour chaque église dans la base de données, de sorte que les données des autres églises ne puissent pas être lues
• Autorisations fondées sur les rôles et conservation des journaux d'accès
• Pare-feu — seuls les ports nécessaires à l'accès web et à l'accès administratif sont ouverts ; la base de données n'est pas accessible depuis l'extérieur du serveur
• Logiciel de protection contre les logiciels malveillants — mise à jour automatique des signatures et analyses quotidiennes
• Sauvegardes régulières — quotidiennes sur le serveur, copiées sur un dispositif de stockage distinct géré par la Société (serveurs 90 jours, dispositif de stockage distinct 1 an)

Appendice 3 — Sous-traitants ultérieurs (tous établis et traitant les données en République de Corée)

Sous-traitant ultérieur	Activité
YourIT Co., Ltd.	Fourniture de serveurs et d'espace de stockage ; conservation des données
NHN Cloud Corp.	Envoi de courriels (aucun SMS n'est envoyé aux numéros de téléphone mobile hors de Corée)
Upstage Co., Ltd.	Rédaction de projets de prédications dans Wesley Simbang Plus (aucune information permettant d'identifier un membre n'est transmise)
Toss Payments Co., Ltd.	Traitement des paiements des redevances (les Églises à l'étranger paient actuellement par virement bancaire)