Accord de traitement des données (ATD)

1. Rôles et responsabilités

Dans le cadre de la fourniture de l’Application, le Prestataire agit en qualité de sous-traitant pour le compte du Client, qui demeure le seul responsable du traitement au sens de la Loi fédérale sur la protection des données (LPD) et de l’Ordonnance sur la protection des données (OPDo).

Le Prestataire ne traite les données personnelles que sur instruction documentée du Client, laquelle est constituée par le présent accord et l’utilisation de l’Application par le Client.

2. Catégories de données et personnes concernées

Les catégories de données personnelles traitées (données d’identification, données professionnelles, données commerciales, photos et documents, données techniques) et les catégories de personnes concernées (employés du Client, clients du Client et autres utilisateurs) sont détaillées dans la Politique de confidentialité, qui fait partie intégrante du présent accord.

3. Finalité et principes du traitement

Le Prestataire s’engage à ne traiter les données personnelles que pour les seules finalités nécessaires à la fourniture, la maintenance et l’amélioration de l’Application, conformément aux CG d’utilisation transmises au Client.

4. Sécurité des données

Le Prestataire met en œuvre les mesures techniques et organisationnelles appropriées, conformément à l’art. 8 LPD, afin de garantir un niveau de sécurité adapté au risque.

5. Confidentialité

Le Prestataire veille à ce que son personnel, autorisé à traiter les données personnelles, soit soumis à une obligation contractuelle de confidentialité. Si le Client utilise l’Application pour traiter des données soumises à un secret professionnel ou de fonction, il lui incombe de s’assurer que le recours à un sous-traitant soit compatible avec ses obligations légales.

6. Sous-traitants ultérieurs

Le Client accepte que le Prestataire recoure aux sous-traitants mentionnés dans les Conditions Générales d’utilisation de l’Application, aux fins décrites à l’art. 5 des CG (hébergement des données, exécution de l’Application et acheminement des e-mails).

Le Prestataire informera le Client de toute nouvelle adjonction ou de tout remplacement de sous-traitant ultérieur par courriel ou via l’interface de l’Application, en laissant au Client un délai de 30 jours pour présenter ses objections. En cas d’objection fondée, et si aucune solution alternative ne peut être trouvée, le Client est en droit de résilier son contrat avec effet à la date de la prise de fonction du nouveau sous-traitant. L’absence d’objection dans le délai imparti vaut acceptation.

7. Assistance au Client

Dans la mesure du possible, le Prestataire met à disposition du Client les outils au sein de l’Application lui permettant une utilisation adéquate et de répondre à ses obligations, notamment pour donner suite aux demandes d’exercice des droits des personnes concernées (accès, rectification, suppression).

8. Violation de la sécurité des données

Le Prestataire notifie au Client, dans les meilleurs délais après en avoir pris connaissance, toute violation de la sécurité des données personnelles, conformément à l’art. 24 al. 3 LPD.

9. Preuve de conformité (Audit)

Le Prestataire met à la disposition du Client la documentation nécessaire pour démontrer le respect de ses obligations (par exemple, descriptions des mesures de sécurité, certifications, rapports de conformité). Tout audit sur site par le Client est exclu. Le Client accepte que la fourniture de ces documents vaille exécution de l’obligation d’audit du Prestataire.

10. Sort des données

À l’expiration ou à la résiliation du contrat, le Client dispose d’un délai de 30 jours pour exporter ses données via les fonctionnalités de l’Application. Passé ce délai, le Prestataire supprime de manière irréversible toutes les données personnelles du Client de ses systèmes, au plus tard dans les 90 jours suivant la résiliation, sauf si une obligation légale de conservation s’y oppose.