Le présent Accord de sous-traitance de données personnelles (ci-après « DPA » ou « l'Accord ») est conclu entre :

• GEJ PARTNERS SAS, société par actions simplifiée au capital de 1 000 €, immatriculée au Registre du Commerce et des Sociétés de Créteil sous le numéro SIREN 907 861 132, dont le siège social est situé 5 Voie de Seine, 94290 Villeneuve-le-Roi, France, représentée par Madame Rahamatou YOBOUE, en qualité de Présidente — ci-après désignée le « Sous-traitant » ou « Trackoya » ;
• Le Client, personne morale ou physique qui accepte les Conditions Générales d'Utilisation de la plateforme Trackoya lors de l'ouverture de son compte — ci-après désigné le « Responsable de traitement ».

Le présent Accord est régi par les dispositions de l'article 28 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (ci-après « RGPD »), et constitue un contrat de sous-traitance au sens dudit règlement.

L'acceptation des Conditions Générales d'Utilisation de Trackoya par le Client vaut acceptation du présent Accord. En cas de contradiction entre les CGU et le présent DPA sur les questions relatives à la protection des données personnelles, le présent DPA prévaut.

Le présent Accord définit les conditions dans lesquelles le Sous-traitant (GEJ PARTNERS SAS / Trackoya) est autorisé à traiter des données à caractère personnel pour le compte du Responsable de traitement, dans le cadre de la fourniture du service SaaS de gestion de présence, de pointage terrain et de suivi des équipes commercialisé sous la marque Trackoya (ci-après « le Service »).

Le Sous-traitant s'engage à ne traiter les données à caractère personnel visées par le présent Accord qu'aux fins d'exécution du Service, conformément aux instructions du Responsable de traitement et aux dispositions du RGPD.

Au sens du présent Accord, on entend par :

• « Données à caractère personnel » ou « Données personnelles » : toute information se rapportant à une personne physique identifiée ou identifiable, telle que définie à l'article 4(1) du RGPD.
• « Traitement » : toute opération ou ensemble d'opérations effectuées sur des données personnelles, automatisées ou non, telles que la collecte, l'enregistrement, la conservation, la consultation, l'utilisation, la communication, la diffusion ou l'effacement.
• « Responsable de traitement » : la personne physique ou morale qui détermine les finalités et les moyens du traitement des données personnelles — en l'espèce, le Client (l'employeur).
• « Sous-traitant » : la personne physique ou morale qui traite des données personnelles pour le compte du Responsable de traitement — en l'espèce, GEJ PARTNERS SAS (Trackoya).
• « Personnes concernées » : les personnes physiques dont les données sont traitées dans le cadre du Service — en l'espèce, principalement les employés du Client.
• « Violation de données » : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles.
• « Sous-traitant ultérieur » : tout tiers auquel le Sous-traitant fait appel pour réaliser des activités de traitement spécifiques pour le compte du Responsable de traitement.
• « RGPD » : le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel.

3.1 Nature et finalité du traitement

Le traitement réalisé par le Sous-traitant a pour finalité l'exploitation du service SaaS Trackoya, comprenant notamment : la gestion des accès employés, l'enregistrement des pointages géolocalisés, la génération de rapports d'activité, la messagerie interne et la gestion du planning.

3.2 Types de données personnelles traitées

• Données d'identification : nom, prénom
• Coordonnées : adresse e-mail professionnelle, numéro de téléphone professionnel
• Données de localisation : coordonnées GPS (latitude, longitude) enregistrées lors des pointages terrain
• Données d'activité : heures de pointage (entrée / sortie), durées de présence
• Contenus de rapport : notes textuelles, photographies jointes aux rapports terrain
• Communications internes : messages échangés via la messagerie intégrée
• Données de planning : créneaux horaires, affectations de postes
• Données techniques : identifiants de session, adresses IP, journaux d'accès (audit trail)

Le Service ne traite aucune catégorie particulière de données au sens de l'article 9 du RGPD (données de santé, opinions politiques, données biométriques, etc.).

3.3 Catégories de personnes concernées

Les personnes concernées sont principalement les employés (salariés, agents, prestataires internes) du Client enregistrés sur la plateforme Trackoya par le Responsable de traitement.

3.4 Durée du traitement

Le traitement des données est effectué pour la durée de vie du compte Client actif. À compter de la date de suppression ou de résiliation du compte, les données personnelles sont conservées pendant une période maximale de 30 jours calendaires, à l'expiration desquels elles sont définitivement supprimées des systèmes du Sous-traitant, sauf obligation légale de conservation contraire.

Le Sous-traitant s'engage à respecter les obligations suivantes, conformément à l'article 28 du RGPD :

4.1 Traitement sur instruction documentée

Le Sous-traitant traite les données personnelles uniquement sur instruction documentée du Responsable de traitement, à moins qu'une obligation légale ne lui impose un traitement particulier. Dans ce cas, le Sous-traitant en informe le Responsable de traitement avant d'effectuer le traitement, sauf si la loi interdit une telle communication.

4.2 Confidentialité

Le Sous-traitant s'assure que les personnes autorisées à traiter les données personnelles s'engagent à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité. L'accès aux données est strictement limité aux personnels dont les fonctions l'exigent dans le cadre du Service.

4.3 Mesures de sécurité techniques et organisationnelles

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, incluant notamment :

• Chiffrement des données en transit par protocole TLS 1.3 (HTTPS obligatoire)
• Isolation des données par compte client (architecture multi-tenant avec cloisonnement strict)
• Authentification par identifiant et mot de passe avec sessions sécurisées
• Sauvegardes automatisées chiffrées de la base de données PostgreSQL, effectuées quotidiennement
• Journalisation des accès et modifications sensibles (audit trail)
• Hébergement exclusif sur l'infrastructure OVH Cloud, centres de données localisés en France
• Procédures internes de gestion des incidents de sécurité

4.4 Sous-traitants ultérieurs

Le Sous-traitant ne fait pas appel à un autre sous-traitant sans avoir obtenu l'autorisation préalable, spécifique ou générale, du Responsable de traitement. L'acceptation du présent Accord vaut autorisation générale pour les sous-traitants ultérieurs listés à l'article 6. Toute modification de cette liste est communiquée au Responsable de traitement avec un préavis raisonnable.

4.5 Assistance dans l'exercice des droits des personnes concernées

Le Sous-traitant aide le Responsable de traitement, dans la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (droit d'accès, de rectification, d'effacement, de portabilité, d'opposition, de limitation). En cas de réception d'une telle demande directement par le Sous-traitant, ce dernier la transmet sans délai au Responsable de traitement.

4.6 Assistance en matière de sécurité et d'obligations RGPD

Le Sous-traitant aide le Responsable de traitement à garantir le respect des obligations relatives à la sécurité des données, à la notification des violations, à l'évaluation d'impact (AIPD) et à la consultation préalable des autorités de contrôle.

4.7 Restitution et suppression des données en fin de contrat

Au terme du contrat de service, le Sous-traitant, selon le choix du Responsable de traitement : (i) restitue l'ensemble des données personnelles au Responsable de traitement sous un format exploitable (export CSV/JSON disponible depuis l'interface), ou (ii) procède à la destruction sécurisée de toutes les données personnelles. Le Responsable de traitement dispose d'un délai de 30 jours à compter de la résiliation pour exercer ce choix et procéder à l'export de ses données.

4.8 Mise à disposition pour les audits

Le Sous-traitant met à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent Accord, et permet la réalisation d'audits ou d'inspections, diligentés par le Responsable de traitement ou un auditeur mandaté par ce dernier, moyennant un préavis raisonnable et dans le respect des contraintes de confidentialité liées aux autres clients.

4.9 Notification des violations de données

En cas de violation de données à caractère personnel, le Sous-traitant notifie le Responsable de traitement dans les 72 heures suivant la découverte de ladite violation, par e-mail à l'adresse fournie lors de l'inscription. Cette notification comporte au minimum : la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables, et les mesures prises ou envisagées pour y remédier.

Le Responsable de traitement reconnaît et accepte les obligations suivantes :

• Informer les personnes concernées (employés) de l'utilisation du service Trackoya, des données collectées, de leurs finalités et de leurs droits, conformément aux articles 13 et 14 du RGPD ;
• S'assurer de l'existence d'une base légale appropriée (exécution du contrat de travail, intérêt légitime ou consentement, selon la législation nationale applicable) avant de traiter les données des employés via la plateforme ;
• Obtenir, lorsque la législation locale l'exige, le consentement préalable des personnes concernées à la collecte de données de géolocalisation ;
• Fournir des instructions documentées et licites au Sous-traitant concernant le traitement des données personnelles ;
• S'assurer que les données saisies dans la plateforme sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités ;
• Ne pas exiger du Sous-traitant qu'il effectue un traitement qui serait contraire au droit applicable en matière de protection des données.

En acceptant le présent Accord, le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants :

Le Sous-traitant s'assure contractuellement que chaque sous-traitant ultérieur présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, conformément à l'article 28 du RGPD. Le Sous-traitant demeure pleinement responsable vis-à-vis du Responsable de traitement de l'exécution par les sous-traitants ultérieurs de leurs obligations.

Toute modification de la liste ci-dessus (ajout ou remplacement d'un sous-traitant ultérieur) est communiquée au Responsable de traitement par e-mail ou via l'interface Trackoya, avec un préavis minimum de 30 jours, lui offrant ainsi la possibilité de s'y opposer.

Les données personnelles des employés (pointages, rapports, planning, messagerie) sont hébergées et traitées exclusivement sur des serveurs situés en France (infrastructure OVH Cloud). Aucun transfert de ces données hors de l'Union européenne n'est réalisé.

S'agissant de Stripe Inc. : les données de paiement (informations de facturation du Client) transitent via l'entité européenne Stripe Payments Europe, Ltd. (Dublin, Irlande). Stripe est certifié conforme au Data Privacy Framework (DPF) UE–États-Unis approuvé par la Commission européenne, garantissant un niveau de protection adéquat.

S'agissant de Nominatim / OpenStreetMap : les requêtes de géocodage ne contiennent aucune donnée personnelle identifiable (seules des coordonnées GPS brutes sont transmises, sans lien avec un identifiant ou un nom d'employé).

Conformément à l'article 32 du RGPD, le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes pour garantir la sécurité des données personnelles :

• Chiffrement en transit : toutes les communications entre les clients (navigateurs, applications mobiles) et les serveurs Trackoya sont chiffrées via le protocole TLS 1.3 (HTTPS obligatoire — accès HTTP automatiquement redirigé).
• Isolation multi-tenant : les données de chaque client sont cloisonnées au niveau de la base de données et de l'application ; un accès croisé entre clients est techniquement impossible.
• Contrôle d'accès : authentification par identifiant unique et mot de passe ; sessions sécurisées avec expiration automatique ; principe du moindre privilège pour les accès internes.
• Sauvegardes chiffrées : sauvegardes automatisées de la base de données PostgreSQL effectuées quotidiennement, chiffrées au repos, conservées sur l'infrastructure OVH Cloud en France.
• Journalisation (audit trail) : enregistrement horodaté des actions sensibles (connexion, modification de données, suppressions) permettant la traçabilité et la détection d'anomalies.
• Plan de continuité : procédures documentées de reprise après incident ; capacité de restauration des données depuis les sauvegardes en cas de panne ou d'incident.

Le Sous-traitant évalue régulièrement ces mesures et les met à jour si nécessaire en fonction de l'évolution des risques et des standards de l'industrie.

En cas de violation de données à caractère personnel, le Sous-traitant notifie le Responsable de traitement dans les meilleurs délais et, dans toute la mesure du possible, au plus tard 72 heures après en avoir pris connaissance. La notification est adressée à l'adresse e-mail enregistrée sur le compte Client.

Cette notification comprend, dans la mesure où ces informations sont disponibles :

• La nature de la violation (accès non autorisé, destruction, altération, divulgation, etc.) ;
• Les catégories et le nombre approximatif de personnes concernées ;
• Les catégories et le volume approximatif d'enregistrements de données concernés ;
• Les conséquences probables de la violation pour les personnes concernées ;
• Les mesures prises ou envisagées par le Sous-traitant pour remédier à la violation, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Si toutes ces informations ne peuvent pas être fournies simultanément, elles peuvent l'être de manière échelonnée sans retard injustifié. Il appartient au Responsable de traitement de décider si la violation doit être notifiée à l'autorité de contrôle compétente (CNIL pour la France) et/ou aux personnes concernées, conformément aux articles 33 et 34 du RGPD.

10.1 Durée

Le présent Accord entre en vigueur à la date d'acceptation des Conditions Générales d'Utilisation de Trackoya par le Client et demeure en vigueur pour toute la durée d'activation du compte Client.

10.2 Effets de la résiliation

À la résiliation ou à l'expiration du compte Client, quelle qu'en soit la cause :

• Le Responsable de traitement peut exporter l'ensemble de ses données depuis l'interface Trackoya avant la date effective de résiliation ;
• À l'expiration du délai de 30 jours suivant la résiliation, le Sous-traitant procède à la suppression définitive et irréversible de toutes les données personnelles du Responsable de traitement de ses systèmes, y compris des sauvegardes ;
• Sur demande expresse du Responsable de traitement, un certificat de suppression peut être délivré.

10.3 Survie de certaines dispositions

Les obligations de confidentialité du Sous-traitant survivent à la résiliation du présent Accord pour une durée de cinq (5) ans.

Le présent Accord est soumis au droit français et aux dispositions du RGPD (Règlement UE 2016/679).

En cas de litige relatif à l'interprétation, à l'exécution ou à la résiliation du présent Accord, les parties s'efforceront de résoudre le différend à l'amiable. À défaut d'accord amiable dans un délai de 30 jours, le litige sera soumis à la compétence exclusive des Tribunaux du ressort de la Cour d'appel de Paris (Tribunal de Commerce de Créteil pour les litiges commerciaux).

Le présent Accord ne restreint pas les droits des personnes concernées de déposer une plainte auprès de la CNIL ou de toute autre autorité de contrôle compétente.

This Data Processing Agreement (hereinafter "DPA" or "Agreement") is entered into between:

• GEJ PARTNERS SAS, a simplified joint-stock company (société par actions simplifiée) incorporated under French law, with a share capital of €1,000, registered with the Créteil Trade and Companies Register under SIREN number 907 861 132, with its registered office at 5 Voie de Seine, 94290 Villeneuve-le-Roi, France, represented by Ms. Rahamatou YOBOUE in her capacity as President — hereinafter referred to as the "Processor" or "Trackoya";
• The Customer, the legal entity or individual who accepts the Trackoya Terms of Service upon account creation — hereinafter referred to as the "Controller".

This Agreement is governed by Article 28 of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data (hereinafter "GDPR"), and constitutes a data processing contract within the meaning of that Regulation.

The Customer's acceptance of the Trackoya Terms of Service constitutes acceptance of this Agreement. In the event of any conflict between the Terms of Service and this DPA regarding matters of personal data protection, this DPA shall prevail.

This Agreement sets out the conditions under which the Processor (GEJ PARTNERS SAS / Trackoya) is authorised to process personal data on behalf of the Controller, in connection with the provision of the SaaS workforce management, field attendance tracking, and team monitoring service marketed under the brand name Trackoya (hereinafter the "Service").

The Processor undertakes to process the personal data covered by this Agreement solely for the purpose of providing the Service, in accordance with the Controller's instructions and the provisions of the GDPR.

For the purposes of this Agreement:

• "Personal Data" means any information relating to an identified or identifiable natural person, as defined in Article 4(1) of the GDPR.
• "Processing" means any operation or set of operations performed on personal data, whether or not by automated means, such as collection, recording, storage, consultation, use, disclosure, dissemination or erasure.
• "Controller" means the natural or legal person which determines the purposes and means of the processing of personal data — in this case, the Customer (employer).
• "Processor" means the natural or legal person which processes personal data on behalf of the Controller — in this case, GEJ PARTNERS SAS (Trackoya).
• "Data Subjects" means the natural persons whose personal data are processed under the Service — primarily the Customer's employees.
• "Personal Data Breach" means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data.
• "Sub-Processor" means any third party engaged by the Processor to carry out specific processing activities on behalf of the Controller.
• "GDPR" means Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of personal data.

3.1 Nature and Purpose of Processing

The processing carried out by the Processor has the purpose of operating the Trackoya SaaS service, including: employee access management, GPS-based attendance logging, activity report generation, internal messaging, and schedule management.

3.2 Types of Personal Data Processed

• Identity data: first name, last name
• Contact data: professional email address, professional phone number
• Location data: GPS coordinates (latitude, longitude) recorded during field check-ins
• Activity data: clock-in / clock-out times, attendance durations
• Report content: text notes, photographs attached to field reports
• Internal communications: messages exchanged via the integrated messaging feature
• Schedule data: time slots, position assignments
• Technical data: session identifiers, IP addresses, access logs (audit trail)

The Service does not process any special categories of data within the meaning of Article 9 of the GDPR (health data, political opinions, biometric data, etc.).

3.3 Categories of Data Subjects

Data subjects are primarily the employees (staff members, agents, internal contractors) of the Customer who are registered on the Trackoya platform by the Controller.

3.4 Duration of Processing

Processing of personal data is carried out for the lifetime of the active Customer account. From the date of account deletion or termination, personal data is retained for a maximum period of 30 calendar days, after which it is permanently deleted from the Processor's systems, unless a statutory retention obligation requires otherwise.

The Processor undertakes to comply with the following obligations in accordance with Article 28 of the GDPR:

4.1 Processing on Documented Instructions

The Processor shall process personal data only on documented instructions from the Controller, unless required to do so by Union or Member State law. In that case, the Processor shall inform the Controller of that legal requirement before processing, unless that law prohibits such notification.

4.2 Confidentiality

The Processor shall ensure that persons authorised to process personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality. Access to data is strictly limited to personnel whose functions require it in connection with the Service.

4.3 Technical and Organisational Security Measures

The Processor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk, including in particular:

• Encryption of data in transit via TLS 1.3 protocol (HTTPS mandatory)
• Data isolation per customer account (multi-tenant architecture with strict partitioning)
• Authentication via unique credentials with secure sessions
• Automated encrypted daily backups of the PostgreSQL database
• Logging of access and sensitive operations (audit trail)
• Exclusive hosting on OVH Cloud infrastructure, data centres located in France
• Internal security incident management procedures

4.4 Sub-Processors

The Processor shall not engage another processor without the prior specific or general written authorisation of the Controller. Acceptance of this Agreement constitutes general authorisation for the sub-processors listed in Article 6. Any changes to that list shall be communicated to the Controller with reasonable prior notice, giving the Controller the opportunity to object.

4.5 Assistance with Data Subject Rights

The Processor shall assist the Controller, insofar as this is possible, in fulfilling its obligation to respond to requests for exercising data subjects' rights (right of access, rectification, erasure, data portability, objection, restriction). Where such a request is received directly by the Processor, it shall be forwarded to the Controller without delay.

4.6 Assistance with GDPR Obligations

The Processor shall assist the Controller in ensuring compliance with the obligations relating to the security of processing, notification of breaches, data protection impact assessments (DPIAs), and prior consultation with supervisory authorities.

4.7 Return and Deletion of Data upon Termination

Upon termination of the service agreement, the Processor shall, at the Controller's choice: (i) return all personal data to the Controller in a usable format (CSV/JSON export available from the interface), or (ii) securely destroy all personal data. The Controller has 30 days from the date of termination to exercise this choice and export its data.

4.8 Availability for Audits

The Processor shall make available to the Controller all information necessary to demonstrate compliance with the obligations laid down in this Agreement, and shall allow for and contribute to audits, including inspections, conducted by the Controller or an auditor mandated by the Controller, subject to reasonable prior notice and confidentiality constraints relating to other customers.

4.9 Notification of Personal Data Breaches

In the event of a personal data breach, the Processor shall notify the Controller within 72 hours of becoming aware of the breach, by email to the address provided during registration. The notification shall include at minimum: the nature of the breach, the categories and approximate number of data subjects and records concerned, the likely consequences, and the measures taken or proposed to address the breach.

The Controller acknowledges and accepts the following obligations:

• Inform data subjects (employees) about the use of the Trackoya service, the data collected, the purposes thereof, and their rights, in accordance with Articles 13 and 14 of the GDPR;
• Ensure the existence of an appropriate legal basis (performance of an employment contract, legitimate interests, or consent, depending on the applicable national law) before processing employees' data through the platform;
• Obtain, where required by local legislation, the prior consent of data subjects to the collection of geolocation data;
• Provide the Processor with documented and lawful instructions regarding the processing of personal data;
• Ensure that data entered into the platform is adequate, relevant, and limited to what is necessary in relation to the purposes for which it is processed;
• Not require the Processor to carry out any processing that would be contrary to applicable data protection law.

By accepting this Agreement, the Controller authorises the use of the following sub-processors:

The Processor shall ensure contractually that each sub-processor provides sufficient guarantees regarding the implementation of appropriate technical and organisational measures, in accordance with Article 28 of the GDPR. The Processor remains fully liable to the Controller for the performance by sub-processors of their obligations.

Any changes to the above list (addition or replacement of a sub-processor) shall be communicated to the Controller by email or via the Trackoya interface, with a minimum notice period of 30 days, thus giving the Controller the opportunity to object.

Personal data relating to employees (attendance records, reports, schedules, messages) is hosted and processed exclusively on servers located in France (OVH Cloud infrastructure). No transfer of such data outside the European Union takes place.

Regarding Stripe Inc.: payment data (Controller's billing information) is processed through the European entity Stripe Payments Europe, Ltd. (Dublin, Ireland). Stripe is certified under the EU–US Data Privacy Framework (DPF) approved by the European Commission, ensuring an adequate level of protection.

Regarding Nominatim / OpenStreetMap: geocoding requests do not contain any personally identifiable data (only raw GPS coordinates are transmitted, with no link to an employee identifier or name).

In accordance with Article 32 of the GDPR, the Processor implements the following technical and organisational measures to ensure the security of personal data:

• Encryption in transit: all communications between clients (browsers, mobile applications) and Trackoya servers are encrypted using TLS 1.3 (HTTPS mandatory — HTTP access automatically redirected).
• Multi-tenant isolation: each customer's data is partitioned at the database and application level; cross-customer access is technically prevented.
• Access control: authentication by unique credentials; secure sessions with automatic expiration; principle of least privilege for internal access.
• Encrypted backups: automated daily backups of the PostgreSQL database, encrypted at rest, stored on OVH Cloud infrastructure in France.
• Audit trail: time-stamped logging of sensitive actions (login, data modification, deletions) to enable traceability and anomaly detection.
• Business continuity: documented incident recovery procedures; ability to restore data from backups in the event of a failure or incident.

The Processor regularly reviews these measures and updates them as necessary in light of evolving risks and industry standards.

In the event of a personal data breach, the Processor shall notify the Controller without undue delay and, where feasible, no later than 72 hours after becoming aware of it. Notification shall be sent to the email address registered on the Customer account.

The notification shall include, to the extent available:

• The nature of the breach (unauthorised access, destruction, alteration, disclosure, etc.);
• The categories and approximate number of data subjects concerned;
• The categories and approximate volume of data records concerned;
• The likely consequences of the breach for data subjects;
• The measures taken or proposed by the Processor to address the breach, including, where appropriate, measures to mitigate its possible adverse effects.

Where all information cannot be provided simultaneously, it may be provided in phases without undue further delay. It is the Controller's responsibility to decide whether the breach must be notified to the competent supervisory authority (CNIL for France) and/or to the data subjects, in accordance with Articles 33 and 34 of the GDPR.

10.1 Term

This Agreement enters into force on the date on which the Customer accepts the Trackoya Terms of Service and remains in force for the duration of the active Customer account.

10.2 Effects of Termination

Upon termination or expiry of the Customer account, for any reason:

• The Controller may export all of its data from the Trackoya interface prior to the effective termination date;
• Upon expiry of the 30-day period following termination, the Processor shall permanently and irreversibly delete all personal data of the Controller from its systems, including from backups;
• At the Controller's express request, a certificate of deletion may be issued.

10.3 Survival

The Processor's confidentiality obligations shall survive termination of this Agreement for a period of five (5) years.

This Agreement is governed by French law and the provisions of the GDPR (Regulation EU 2016/679).

In the event of any dispute relating to the interpretation, performance or termination of this Agreement, the parties shall endeavour to resolve the dispute amicably. Failing an amicable resolution within 30 days, the dispute shall be submitted to the exclusive jurisdiction of the courts of the jurisdiction of the Paris Court of Appeal (Tribunal de Commerce de Créteil for commercial disputes).

This Agreement does not restrict data subjects' rights to lodge a complaint with the CNIL or any other competent supervisory authority.