Cadre juridique

Conformement a l'article 28 du RGPD (Reglement (UE) 2016/679) et notamment a l'article 28.2 imposant l'information prealable du responsable du traitement avant tout recours a un sous-traitant ulterieur, Trinity Insights publie la liste exhaustive de ses sous-traitants intervenant dans le traitement de donnees personnelles d'utilisateurs. Paddle, revendeur (Merchant of Record), n'y figure pas : il traite les donnees de paiement en qualite de responsable de traitement distinct.

Cette liste constitue un engagement contractuel opposable, conformement aux recommandations du Comite europeen de la protection des donnees (CEPD , Lignes directrices 07/2020 sur les concepts de responsable du traitement et de sous-traitant).

Sous-traitants actifs

Notification prealable et droit d'opposition

Toute modification substantielle de la liste (ajout, retrait ou changement de role d'un sous-traitant) fait l'objet d'une notification a l'Utilisateur au moins trente (30) jours avant son entree en vigueur, par email et par bandeau d'information dans le tableau de bord du Service.

L'Utilisateur dispose d'un droit d'opposition raisonnee a tout ajout de sous-traitant. En cas d'opposition fondee, Trinity Insights pourra, a sa discretion, retirer le sous-traitant concerne ou resilier le contrat avec remboursement prorata temporis du mois en cours.

Pour s'opposer a un nouveau sous-traitant ou exercer tout autre droit relatif a cette liste, contactez [email protected].

Mecanismes de transfert hors UE

Les transferts de donnees personnelles vers des sous-traitants situes hors de l'Espace Economique Europeen (EEE) reposent sur les mecanismes prevus aux articles 44 a 49 du RGPD :

• Decisions d'adequation de la Commission europeenne (notamment Data Privacy Framework UE-US du 10 juillet 2023) ;
• Clauses Contractuelles Types (CCT 2021/914) en backup et pour les transferts non couverts par decision d'adequation ;
• Analyses d'impact des transferts (TIA) conformement aux Recommandations 01/2020 du CEPD post-arret Schrems II.

Legal framework

In accordance with Article 28 of the GDPR (Regulation (EU) 2016/679), and in particular Article 28.2 imposing prior information of the data controller before engaging a sub-processor, Trinity Insights publishes the exhaustive list of its sub-processors involved in the processing of users' personal data. Paddle, the reseller (Merchant of Record), is not listed: it processes payment data as a separate controller.

This list constitutes an enforceable contractual commitment, in accordance with the European Data Protection Board (EDPB) Guidelines 07/2020 on the concepts of controller and processor.

Active sub-processors

Prior notification and right to object

Any substantial modification to the list (addition, removal, or role change of a sub-processor) is notified to the User at least thirty (30) days before it takes effect, by email and by an information banner in the Service dashboard.

The User has a right to object on reasoned grounds to any new sub-processor addition. In case of a well-founded objection, Trinity Insights may, at its discretion, withdraw the sub-processor concerned or terminate the contract with a pro rata temporis refund of the current month.

To object to a new sub-processor or to exercise any other right relating to this list, contact [email protected].

Non-EU transfer mechanisms

Transfers of personal data to sub-processors located outside the European Economic Area (EEA) rely on the mechanisms provided in Articles 44 to 49 of the GDPR:

• European Commission adequacy decisions (in particular the EU-US Data Privacy Framework of July 10, 2023);
• Standard Contractual Clauses (SCC 2021/914) as backup and for transfers not covered by an adequacy decision;
• Transfer Impact Assessments (TIA) in accordance with EDPB Recommendations 01/2020 post-Schrems II.