Contrat de sous-traitance des données

Traduction fournie à titre informatif. Seule la version allemande fait foi.

1. Objet

Le présent contrat de sous-traitance règle le traitement de données personnelles par Elevate Page (Vincent Schmid, ci-après le « fournisseur ») en qualité de sous-traitant pour le compte du client en qualité de responsable du traitement au sens de l’art. 9 de la loi fédérale sur la protection des données (LPD). Il fait partie intégrante des conditions générales.

Le contrat s’applique à toutes les données personnelles que le client saisit dans Elevate Page ou qui lui parviennent via ses sites, dans la mesure où le fournisseur agit sur instruction.

2. Nature et finalité du traitement

Le fournisseur traite des données personnelles afin de fournir la plateforme, d’héberger, de maintenir et de sécuriser les sites du client et d’exécuter les fonctions utilisées par le client.

Sont notamment concernés :

• les contenus des sites du client (textes, images, coordonnées)
• les demandes envoyées par formulaire de contact (p. ex. nom, adresse e-mail, numéro de téléphone, message)
• les rendez-vous, inscriptions aux cours et listes d’attente (p. ex. nom, coordonnées, prestation réservée, remarque)
• les commandes de la boutique en ligne (p. ex. nom, adresses de livraison et de facturation, adresse e-mail, produits commandés, statut du paiement)
• les statistiques de visite des sites (sans adresses IP ni cookies)

Les personnes concernées sont les visiteurs des sites du client, ses clients et ses collaborateurs.

3. Instructions du client

Le fournisseur traite les données personnelles exclusivement sur instruction documentée du client, sauf si des dispositions légales impératives exigent un autre traitement. Les réglages et actions du client dans la plateforme valent notamment instruction.

Le client est responsable d’être en droit de traiter les données concernées, de la licéité du traitement effectué sur ses instructions et de l’information des personnes concernées dans la déclaration de protection des données de son site.

4. Mesures techniques et organisationnelles

Le fournisseur prend des mesures techniques et organisationnelles appropriées pour garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes (art. 8 LPD).

Il s’agit notamment de contrôles d’accès et d’un concept d’autorisations, de la journalisation des opérations relevant de la sécurité, de la transmission chiffrée (TLS), de l’enregistrement des mots de passe sous forme de hachage sécurisé, de l’exploitation des serveurs en Suisse et de sauvegardes régulières.

5. Sous-traitants ultérieurs

Le fournisseur peut faire appel à des sous-traitants ultérieurs appropriés pour l’exploitation de la plateforme, pour autant qu’ils soient soumis aux mêmes obligations de protection des données et que la communication des données soit nécessaire à la fourniture des prestations. Il s’agit actuellement de :

• Hébergement : serveurs dans un centre de données en Suisse
• Envoi d’e-mails : Infomaniak Network SA, Genève (Suisse)

Si le client utilise des fonctions facultatives comme le paiement par carte (Stripe) ou la traduction automatique (DeepL), les données nécessaires sont transmises à ces prestataires ; les détails figurent dans la déclaration de protection des données. Le fournisseur informe le client au préalable des changements prévus parmi les sous-traitants ultérieurs.

6. Droits des personnes concernées

Le client reste responsable des droits des personnes concernées. Dans la mesure de ses possibilités techniques, le fournisseur assiste le client pour les demandes d’accès, de rectification, d’effacement et de remise des données. Le client peut consulter, exporter et effacer de nombreuses données directement dans la plateforme.

7. Annonce des violations de la sécurité des données

Le fournisseur informe le client sans délai s’il a connaissance d’une violation de la sécurité des données concernant des données personnelles du client et l’assiste pour d’éventuelles obligations d’annonce (art. 24 LPD).

8. Fin du contrat

À la fin de la relation contractuelle, le fournisseur efface les données personnelles du client ou les lui restitue selon ses instructions, sauf obligation légale de conservation. Si le client supprime lui-même son compte, les données sont effacées immédiatement ; elles subsistent au plus 30 jours dans des copies de sauvegarde.