ANNEXE 1 : ACCORD DE SOUS-TRAITANCE DES DONNÉES
Au sens de l'art. 9 de la loi fédérale sur la protection des données (nLPD)
Entre le Client (responsable du traitement) et le Prestataire (sous-traitant), tels qu'identifiés dans le contrat d'abonnement.
1. Objet et durée
Le Prestataire traite des données personnelles pour le compte du Client, uniquement pour lui fournir l'Application "Carnet de chantier vocal". Le présent accord dure aussi longtemps que le Prestataire traite ces données, essai gratuit compris.
2. Description du traitement
| Finalité | Transformer une dictée et des photos en brouillon de devis, conserver et afficher les devis, appliquer le catalogue de prix du Client |
| Personnes concernées | Clients et prospects du Client ; collaborateurs du Client qui utilisent l'Application |
| Catégories de données | Nom, prénom, adresse, téléphone, email, adresse du chantier, description des travaux, photos du chantier ou du logement, contenu de la dictée |
| Données sensibles | Aucune. Le Client s'engage à ne pas en saisir (CGV art. 7.3) |
| Données des utilisateurs | Nom, email et mot de passe (stocké uniquement sous forme chiffrée irréversible) de chaque utilisateur du Client |
| Lieu de stockage | Base de données et photos en ligne chez Supabase, serveurs à Francfort (Allemagne, UE) |
3. Instructions du Client
3.1 Le Prestataire ne traite les données que selon les instructions du Client. Le contrat, les CGV et l'utilisation normale de l'Application constituent ces instructions.
3.2 Le Prestataire n'utilise pas les données à ses propres fins (ni statistiques, ni publicité, ni entraînement d'IA) et ne les communique à personne, sauf aux sous-traitants ultérieurs listés à l'art. 6 ou si la loi l'y oblige.
3.3 Si le Prestataire estime qu'une instruction viole la loi, il en informe le Client.
4. Confidentialité
Le Prestataire garantit que toute personne qui a accès aux données est tenue à la confidentialité. À ce jour, le Prestataire est la seule personne ayant accès aux données.
5. Sécurité des données (art. 8 nLPD)
Le Prestataire prend des mesures techniques et organisationnelles adaptées au risque, notamment :
- comptes créés uniquement par le Prestataire (aucune inscription libre), un compte personnel par utilisateur ;
- isolation des données entre entreprises : chaque entreprise n'accède qu'à ses propres données, contrôlé au niveau de la base de données et vérifié par des tests ;
- mots de passe jamais stockés en clair ;
- connexions chiffrées (HTTPS) ;
- double authentification sur tous les comptes d'administration (hébergement, base de données, IA, code source, et compte email qui permet de s'y connecter) ;
- clés d'accès techniques stockées hors du code source ;
- transmission au service d'IA limitée aux données nécessaires (la dictée et les noms des prestations du catalogue, jamais les prix) ;
- données hébergées dans l'UE (Francfort) ;
6. Sous-traitants ultérieurs
6.1 Le Client autorise le recours aux sous-traitants ultérieurs suivants :
| Prestataire | Rôle | Pays de traitement | Garantie pour le transfert |
|---|---|---|---|
| Anthropic PBC | Structuration de la dictée en devis (IA). Interdiction contractuelle d'entraîner ses modèles sur ces données | USA | Accord de sous-traitance d'Anthropic (intégré à ses conditions commerciales) avec clauses contractuelles types de l'UE et avenant suisse (art. 16 al. 2 let. d nLPD) |
| Vercel Inc. | Hébergement de l'Application (la dictée y transite pour être envoyée à l'IA) | USA | Certification Swiss-U.S. Data Privacy Framework (pays adéquat pour les entreprises certifiées depuis le 15.09.2024) et accord de sous-traitance de Vercel [applicable seulement avec l'offre Pro : à souscrire avant que des données réelles soient traitées] |
| Supabase Inc. | Base de données, comptes et photos | Allemagne (Francfort, UE). Accès ponctuel depuis les USA pour le support et l'exploitation | UE : pays adéquat. Accès depuis les USA : accord de sous-traitance de Supabase avec clauses contractuelles types de l'UE et avenant suisse |
| Fournisseur du navigateur (Apple pour Safari, Google pour Chrome) | Reconnaissance vocale, fonction du navigateur utilisé par le Client | Selon le fournisseur | Conditions du fournisseur du navigateur, acceptées par le Client sur son propre appareil |
6.2 Le Prestataire informe le Client par écrit, au moins 30 jours à l'avance, de tout ajout ou remplacement d'un sous-traitant ultérieur. Le Client peut s'y opposer en résiliant l'abonnement sans frais pour la date du changement.
6.3 Le Prestataire impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes, dans la mesure permise par leurs conditions standard.
7. Assistance au Client
Le Prestataire aide le Client, dans la mesure du possible, à :
- répondre aux demandes de ses clients (droit d'accès, rectification, effacement, art. 25 ss nLPD) ;
- remplir ses obligations de sécurité et, le cas échéant, d'analyse d'impact.
8. Violation de la sécurité des données (art. 24 nLPD)
Le Prestataire informe le Client dans les meilleurs délais, en principe dans les 48 heures après en avoir eu connaissance, de toute violation de la sécurité des données (perte, fuite, accès non autorisé). Il lui transmet les informations utiles : nature de la violation, données et personnes touchées, conséquences possibles, mesures prises. L'annonce au Préposé fédéral (PFPDT) et aux personnes concernées incombe au Client, avec l'aide du Prestataire.
9. Fin du traitement
À la fin du contrat, le Prestataire permet l'export des données pendant 30 jours, puis les supprime, y compris chez ses sous-traitants ultérieurs dans la mesure où il le contrôle. Il confirme la suppression par écrit sur demande.
10. Contrôle
Le Prestataire fournit au Client, sur demande, les informations nécessaires pour vérifier le respect du présent accord.
| Le Prestataire | Le Client |
|---|---|
| Lieu, date : | Lieu, date : |
| ______________________ | ______________________ |